JP2005135062A - Access management system, access execution system, access execution program, access execution method, and recording medium - Google Patents

Access management system, access execution system, access execution program, access execution method, and recording medium Download PDF

Info

Publication number
JP2005135062A
JP2005135062A JP2003368518A JP2003368518A JP2005135062A JP 2005135062 A JP2005135062 A JP 2005135062A JP 2003368518 A JP2003368518 A JP 2003368518A JP 2003368518 A JP2003368518 A JP 2003368518A JP 2005135062 A JP2005135062 A JP 2005135062A
Authority
JP
Japan
Prior art keywords
access
determination result
determination
permission condition
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2003368518A
Other languages
Japanese (ja)
Other versions
JP4014165B2 (en
Inventor
Yuji Watanabe
渡邊　裕治
Masayuki Numao
沼尾　雅之
Madoka Yuriyama
まどか 百合山
Keitaro Doumen
慶太郎 堂面
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Priority to JP2003368518A priority Critical patent/JP4014165B2/en
Priority to US10/958,322 priority patent/US7752161B2/en
Publication of JP2005135062A publication Critical patent/JP2005135062A/en
Application granted granted Critical
Publication of JP4014165B2 publication Critical patent/JP4014165B2/en
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/02—Reservations, e.g. for tickets, services or events
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/06—Buying, selling or leasing transactions
    • G06Q30/0601—Electronic shopping [e-shopping]
    • G06Q30/0633—Lists, e.g. purchase orders, compilation or processing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Development Economics (AREA)
  • Economics (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Finance (AREA)
  • Health & Medical Sciences (AREA)
  • Accounting & Taxation (AREA)
  • Tourism & Hospitality (AREA)
  • Computer Security & Cryptography (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Marketing (AREA)
  • Operations Research (AREA)
  • Quality & Reliability (AREA)
  • Human Resources & Organizations (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Automation & Control Theory (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

<P>PROBLEM TO BE SOLVED: To prevent the determination of a policy from being a bottleneck in an information system. <P>SOLUTION: An access management system is provided with an access execution device which permits access to a database when an access request satisfies access permission conditions, and a policy determination device which determines whether the access request satisfies the access permission conditions. The access execution device stores determination result information including the result of the determination of the access permission conditions and determines that the access request satisfies the access permission conditions when the determination result information has a preliminarily determined inclusive relationship to the access request, and receives the result of the determination of the access permission conditions to the access request from the policy determination device when the determination result information is determined not to have inclusive relationship to the access request, and then permits the access to the database when the access request is determined to satisfy the access permission conditions. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

本発明は、アクセス管理システム、アクセス執行装置、アクセス執行プログラム、アクセス執行方法、及び記録媒体に関する。特に本発明は、データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システム、アクセス執行装置、アクセス執行プログラム、アクセス執行方法、及び記録媒体に関する。   The present invention relates to an access management system, an access execution device, an access execution program, an access execution method, and a recording medium. In particular, the present invention provides an access management system, an access execution device, an access execution program, an access execution method, and an access execution system for accessing the database based on the access request when the access request to the database satisfies a predetermined access permission condition. And a recording medium.

近年の電子商取引の普及や企業内システムの統合に伴って、顧客のプライバシーを尊重しつつ個人情報や機密情報等を企業内で共有することが必要となっている。個人情報を保護するために、国際的にはＯＥＣＤ８原則に基づいて情報システムを運用することが推奨されている。そこで、情報システムを構築する企業は、プライバシー・ポリシーを策定すると共に、情報システムがこのプライバシー・ポリシーに基づいて個人情報のアクセスを適切に行うよう保証することが望まれる。   With the spread of electronic commerce in recent years and the integration of in-house systems, it is necessary to share personal information, confidential information, etc. within the company while respecting customer privacy. In order to protect personal information, it is recommended internationally to operate an information system based on the OECD 8 principles. Therefore, it is desired that a company that builds an information system formulates a privacy policy and ensures that the information system appropriately accesses personal information based on this privacy policy.

このような情報システムにおいては、プライバシー・ポリシーに基づいて個人情報のアクセス可否を判断するポリシー判定機能をサーバ上に実装し、ポリシー判定機能による判定結果に基づいてアクセス制御を行うアクセス執行機能を個人情報と共にクライアント上に実装するのが一般的である。
なお、現時点で先行技術文献の存在を認識していないので、先行技術文献に関する記載を省略する。 In such an information system, a policy determination function that determines whether or not personal information can be accessed based on a privacy policy is implemented on the server, and an access execution function that performs access control based on the determination result by the policy determination function It is common to implement it on the client along with the information.
In addition, since the presence of a prior art document is not recognized at present, description regarding the prior art document is omitted.

上記のポリシー判定機能は、プライバシー・ポリシーを一元的に管理する必要から、通常１つのサーバ上で実行される。このため、大規模情報システムにおいては、多数のアクセス執行機能がポリシー判定機能を集中的にアクセスし、ポリシー判定機能を実装するサーバのボトルネックにより処理性能が低下してしまう。   The above policy determination function is usually executed on one server because the privacy policy needs to be managed centrally. For this reason, in a large-scale information system, a large number of access execution functions access the policy determination function in a concentrated manner, and the processing performance deteriorates due to the bottleneck of the server that implements the policy determination function.

そこで本発明は、上記の課題を解決することのできるデータベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするを提供することを目的とする。この目的は特許請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本発明の更なる有利な具体例を規定する。   Therefore, the present invention has an object to provide access to a database based on the access request when the access request to the database that can solve the above-described problems satisfies a predetermined access permission condition. To do. This object is achieved by a combination of features described in the independent claims. The dependent claims define further advantageous specific examples of the present invention.

本発明の第１の形態によると、データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムであって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、当該アクセス管理システムは、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置と、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置とを備え、前記アクセス執行装置は、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと判定する包含関係判定部と、前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部とを有するアクセス管理システムを提供する。   According to the first aspect of the present invention, when an access request to a database satisfies a predetermined access permission condition, the access management system accesses the database based on the access request, and the access permission condition Is satisfied when all of the partial conditions included in the predetermined first set of partial conditions among a plurality of partial conditions that are elements of the access permission condition are satisfied. The access management system receives the access request and permits the access to the database when the access request satisfies the access permission condition, and the plurality of the access requests An access permission condition determination request including the determination result of each partial condition is sent to the access condition. A policy determination device that receives from the execution device and returns a determination result that determines whether or not the access permission condition is satisfied for the access request, wherein the access execution device determines each of the plurality of partial conditions For each of the plurality of partial conditions, a determination result storage unit that associates a result with the determination results of the access permission condition for a plurality of the determination results and stores the determination result information as the determination result information. In the case where the determination result for the partial condition in the access request is different from the determination result for the partial condition in the determination result information, the partial condition determination unit that outputs a determination result that determines whether or not the condition is satisfied, The determination result information is satisfied in the determination result information for the access request. The access is performed when all of the partial conditions that are satisfied are also satisfied in the access request and have a first inclusion relationship that is the relationship in which the access permission condition is satisfied in the determination result information. An inclusion relationship determination unit that determines that the request satisfies the access permission condition, and the access permission condition determination request when the determination result information is determined not to have the first inclusion relationship with respect to the access request. A determination result acquisition unit that transmits to the policy determination apparatus and receives the determination result of the access permission condition for the access request from the policy determination apparatus; and when the access request is determined to satisfy the access permission condition And an access management system for permitting access to the database. .

なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。   The above summary of the invention does not enumerate all the necessary features of the present invention, and sub-combinations of these feature groups can also be the invention.

本発明によれば、プライバシー・ポリシーに基づき個人情報を適切にアクセスする情報システムにおいて、プライバシー・ポリシーの判定がボトルネックとなるのを防ぐことができる。   ADVANTAGE OF THE INVENTION According to this invention, it can prevent that determination of a privacy policy becomes a bottleneck in the information system which accesses personal information appropriately based on a privacy policy.

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。   Hereinafter, the present invention will be described through embodiments of the invention. However, the following embodiments do not limit the invention according to the scope of claims, and all combinations of features described in the embodiments are included. It is not necessarily essential for the solution of the invention.

図１は、本実施形態に係るアクセス管理システム１０の構成を示す。本実施形態に係るアクセス管理システム１０は、データベース１００へのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベース１００をアクセスする。ここでアクセス管理システム１０は、複数のアクセスが予め定められた関係を満たす場合に、第１のアクセスに対してポリシー判定機能から取得した判定結果を用いて、第２のアクセスの判定結果をアクセス執行機能内部で判定することにより、ポリシー判定機能の処理量を低減させることを特徴とする。   FIG. 1 shows a configuration of an access management system 10 according to the present embodiment. The access management system 10 according to the present embodiment accesses the database 100 based on the access request when the access request to the database 100 satisfies a predetermined access permission condition. Here, the access management system 10 accesses the determination result of the second access using the determination result acquired from the policy determination function for the first access when a plurality of accesses satisfy a predetermined relationship. The amount of processing of the policy determination function is reduced by making the determination inside the execution function.

本実施形態において、アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のＡＮＤ／ＯＲ結合で表現され、いずれの部分条件の否定条件を要素としない条件である。すなわち例えば、複数の部分条件{C１,C２,C３,C４,C５}に対し、アクセス許可条件Fは、ＡＮＤを「・」、ＯＲを「+」とすると、F=C1・C2・C4+C3・C5のようにいずれの部分条件の否定条件を含まない積和標準形により表現される条件である。 In the present embodiment, the access permission condition is a condition that is expressed by AND / OR combination of a plurality of partial conditions that are elements of the access permission condition, and a negative condition of any partial condition is not used as an element. That is, for example, for a plurality of partial conditions {C 1 , C 2 , C 3 , C 4 , C 5 }, the access permission condition F is F = C 1 , where AND is “·” and OR is “+”. A condition expressed by a product-sum standard form that does not include the negative condition of any partial condition, such as C 2 , C 4 + C 3, and C 5 .

このようなアクセス許可条件は、複数の部分条件のうち、予め定められた部分条件の組に含まれる全ての部分条件が満たされる場合に、当該部分条件の組に含まれない部分条件の判定結果に関わらず、当該アクセス許可条件が満たされる条件となる。すなわち、上記の例の場合、第１の項に含まれる部分条件の組{C1,C2,C4}に含まれる全ての部分条件が満たされる場合に、この組に含まれない部分条件{C３,C５}の判定結果に関わらず、アクセス許可条件は真となる。同様に、第２の項に含まれる部分条件の組{C3,C5}に含まれる全ての部分条件が満たされる場合に、この組に含まれない部分条件{ C1,C2,C４}の判定結果に関わらず、アクセス許可条件は真となる。 Such an access permission condition is a determination result of a partial condition that is not included in the set of partial conditions when all of the partial conditions included in the predetermined set of partial conditions are satisfied among a plurality of partial conditions. Regardless of the condition, the access permission condition is satisfied. That is, in the case of the above example, if all the partial conditions included in the set of partial conditions {C 1 , C 2 , C 4 } included in the first term are satisfied, the partial conditions not included in this set Regardless of the determination result of {C 3 , C 5 }, the access permission condition is true. Similarly, when all the partial conditions included in the set of partial conditions {C 3 , C 5 } included in the second term are satisfied, the partial conditions {C 1 , C 2 , C included in this set are not included. 4 } The access permission condition is true regardless of the determination result of}.

また、このようなアクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた部分条件の組に含まれる全ての部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件となる。すなわち、上記の例の場合、部分条件の組{C4,C5}に含まれる全ての部分条件が満たされない場合に、この組に含まれない部分条件{C1,C2,C3}の判定結果に関わらず、アクセス許可条件は偽となる。 In addition, such an access permission condition is determined when the partial permission conditions included in a predetermined partial condition set among a plurality of partial conditions that are elements of the access permission condition are not satisfied. Is a condition that is not satisfied. That is, in the case of the above example, when all partial conditions included in the set of partial conditions {C 4 , C 5 } are not satisfied, the partial conditions {C 1 , C 2 , C 3 } not included in this set Regardless of the determination result, the access permission condition is false.

本実施形態に係るアクセス管理システム１０は、アクセス許可条件が有する上記の特性を用いて、第１のアクセス要求が満たす全ての部分条件を第２のアクセス要求が満たし、かつ、第１のアクセス要求のアクセス許可条件が満たされている場合に、アクセス執行機能において第２のアクセス要求がアクセス許可条件を満たしていると判断する。同様に、第１のアクセス要求が満たさない全ての部分条件を第２のアクセス要求が満たさず、かつ、第１のアクセス要求のアクセス許可条件が満たされていない場合に、アクセス執行機能において第２のアクセス要求がアクセス許可条件を満たしていないと判断する。   The access management system 10 according to the present embodiment uses the above characteristics of the access permission condition, the second access request satisfies all the partial conditions that the first access request satisfies, and the first access request When the access permission condition is satisfied, the access execution function determines that the second access request satisfies the access permission condition. Similarly, when the second access request does not satisfy all the partial conditions that the first access request does not satisfy, and the access permission condition of the first access request is not satisfied, It is determined that the access request does not satisfy the access permission condition.

アクセス管理システム１０は、データベース１００と、アクセス要求元装置１１０と、アクセス執行装置１２０と、ポリシー判定装置１７０と、認証装置１９０とを備える。データベース１００は、図２に例示した様に、複数の個人のそれぞれに対応する、当該個人の氏名、年齢、性別、及び／又は住所等を含む個人情報を格納する。ここでデータベース１００は、これらの個人情報として、アクセス管理システム１０を使用する企業の顧客や社員等に関する情報を格納してよい。また、データベース１００は、個人情報に代えて、複数の社員のそれぞれが管理する機密情報等を、図２と同様にして格納してもよい。   The access management system 10 includes a database 100, an access request source device 110, an access execution device 120, a policy determination device 170, and an authentication device 190. As illustrated in FIG. 2, the database 100 stores personal information corresponding to each of a plurality of individuals, including the names, ages, sexes, and / or addresses of the individuals. Here, the database 100 may store information on customers, employees, and the like of companies that use the access management system 10 as such personal information. Further, the database 100 may store confidential information and the like managed by each of a plurality of employees in the same manner as in FIG. 2 instead of personal information.

アクセス要求元装置１１０は、アクセス要求元装置１１０の利用者やアクセス要求元装置１１０上で動作するアプリケーションプログラム等の指示を受けて、アクセス要求をアクセス執行装置１２０へ送信する。アクセス執行装置１２０は、アクセス要求をアクセス要求元装置１１０から受信し、アクセス要求がアクセス許可条件を満たす場合にデータベース１００へのアクセスを許可するアクセス執行機能を実装する。ここでアクセス執行装置１２０は、当該アクセス要求がアクセス許可条件を満たすか否かをアクセス執行装置１２０内で判定できない場合には、アクセス許可条件判定要求をポリシー判定装置１７０へ送信することにより、当該アクセス要求についてアクセス許可条件を満たすか否かの判定をポリシー判定装置１７０に要求する。   The access request source device 110 transmits an access request to the access execution device 120 in response to an instruction from a user of the access request source device 110 or an application program running on the access request source device 110. The access execution device 120 implements an access execution function that receives an access request from the access request source device 110 and permits access to the database 100 when the access request satisfies the access permission condition. If the access enforcement device 120 cannot determine whether the access request satisfies the access permission condition in the access enforcement device 120, the access execution device 120 transmits the access permission condition determination request to the policy determination device 170, thereby The policy determination apparatus 170 is requested to determine whether or not the access permission condition is satisfied for the access request.

ポリシー判定装置１７０は、アクセス許可条件判定要求をアクセス執行装置１２０から受信し、当該アクセス要求についてアクセス許可条件が満たされるか否かを判定した判定結果をアクセス執行装置１２０へ返信するポリシー判定機能を実装する。認証装置１９０は、アクセス要求元装置１１０の利用者又はアクセス要求元装置１１０上で動作するアプリケーションプログラムを認証する。   The policy determination device 170 has a policy determination function for receiving an access permission condition determination request from the access execution device 120 and returning a determination result for determining whether the access permission condition is satisfied for the access request to the access execution device 120. Implement. The authentication device 190 authenticates a user of the access request source device 110 or an application program that runs on the access request source device 110.

アクセス執行装置１２０は、部分条件判定部１３０と、判定結果格納部１３５と、包含関係判定部１４０と、判定結果取得部１４５と、アクセス処理部１５０と、判定結果更新部１５５と、判定結果情報削減部１６０とを有する。部分条件判定部１３０は、複数の部分条件のそれぞれについて、アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する。ここで部分条件判定部１３０は、個人情報の内容に基づいて判定されるべき部分条件については、データベース１００に格納された個人情報を参照して判定する。判定結果格納部１３５は、既にポリシー判定装置１７０によりアクセス許可条件が判定されたアクセス要求について、複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対するアクセス許可条件の判定結果とを対応付けて判定結果情報として格納する。   The access execution device 120 includes a partial condition determination unit 130, a determination result storage unit 135, an inclusion relationship determination unit 140, a determination result acquisition unit 145, an access processing unit 150, a determination result update unit 155, and determination result information. And a reduction unit 160. The partial condition determination unit 130 outputs, for each of the plurality of partial conditions, a determination result that determines whether the access request satisfies the partial condition. Here, the partial condition determination unit 130 determines the partial condition to be determined based on the content of the personal information with reference to the personal information stored in the database 100. The determination result storage unit 135 associates each determination result of the plurality of partial conditions with the determination result of the access permission condition for the plurality of determination results for the access request for which the access permission condition has already been determined by the policy determination device 170. And store it as judgment result information.

包含関係判定部１４０は、判定結果格納部１３５に格納された判定結果情報と、アクセス要求元装置１１０から受信したアクセス要求についての複数の部分条件の判定結果とに基づいて、アクセス許可条件をアクセス執行装置１２０内部で判定可能かどうかを判定する。判定結果取得部１４５は、アクセス許可条件をアクセス執行装置１２０内部で判定できないと判断された場合に、アクセス要求元装置１１０から受信したアクセス要求についての複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求をポリシー判定装置１７０へ送信し、アクセス要求についてのアクセス許可条件の判定結果をポリシー判定装置１７０から受信する。アクセス処理部１５０は、包含関係判定部１４０又はポリシー判定装置１７０によりアクセス要求がアクセス許可条件を満たすと判定された場合に、当該アクセス要求に対してデータベース１００のアクセスを許可する。そして、当該アクセス要求に基づいてデータベース１００をアクセスし、アクセス結果をアクセス要求元装置１１０へ送信する。   The inclusion relation determination unit 140 accesses the access permission condition based on the determination result information stored in the determination result storage unit 135 and the determination results of a plurality of partial conditions for the access request received from the access request source apparatus 110. It is determined whether or not determination can be made inside the enforcement device 120. When it is determined that the access permission condition cannot be determined within the access execution device 120, the determination result acquisition unit 145 includes an access including each determination result of the plurality of partial conditions for the access request received from the access request source device 110. The permission condition determination request is transmitted to the policy determination apparatus 170, and the access permission condition determination result for the access request is received from the policy determination apparatus 170. When the access relationship determination unit 140 or the policy determination device 170 determines that the access request satisfies the access permission condition, the access processing unit 150 permits the database 100 to access the access request. Then, the database 100 is accessed based on the access request, and the access result is transmitted to the access request source apparatus 110.

判定結果更新部１５５は、アクセス要求についてのアクセス許可条件の判定結果を判定結果取得部１４５が受信した場合に、当該アクセス要求についての複数の部分条件のそれぞれの判定結果と、当該アクセス要求についてのアクセス許可条件の判定結果とを対応付けて判定結果情報として判定結果格納部１３５に格納させる。判定結果情報削減部１６０は、判定結果格納部１３５に格納された、冗長な判定結果情報を削除する。   When the determination result acquisition unit 145 receives the determination result of the access permission condition for the access request, the determination result update unit 155 determines each of the determination results of the plurality of partial conditions for the access request and the access request The determination result of the access permission condition is associated with and stored in the determination result storage unit 135 as determination result information. The determination result information reduction unit 160 deletes redundant determination result information stored in the determination result storage unit 135.

ポリシー判定装置１７０は、部分条件送信部１７５と、ポリシー判定部１８０とを有する。部分条件送信部１７５は、複数の部分条件をそれぞれ規定する複数の部分条件関数を、アクセス執行装置１２０の初期化時等にアクセス執行装置１２０内の部分条件判定部１３０へ送信する。ポリシー判定部１８０は、アクセス執行装置１２０内の判定結果取得部１４５からアクセス許可条件判定要求を受信した場合に、対応するアクセス要求についてアクセス許可条件が満たされるか否かを判定した判定結果を返信する。この判定においてポリシー判定部１８０は、アクセス要求元装置１１０の使用者又はアクセス要求元装置１１０上で動作するアプリケーションプログラムを認証装置１９０が認証した認証結果を参照する。認証装置１９０は、アクセス要求元装置１１０の使用者又はアプリケーションプログラムを認証し、正しく認証された場合にアクセス執行装置１２０への接続を許可する。   The policy determination device 170 includes a partial condition transmission unit 175 and a policy determination unit 180. The partial condition transmission unit 175 transmits a plurality of partial condition functions that respectively define a plurality of partial conditions to the partial condition determination unit 130 in the access execution device 120 when the access execution device 120 is initialized. When the policy determination unit 180 receives an access permission condition determination request from the determination result acquisition unit 145 in the access execution device 120, the policy determination unit 180 returns a determination result that determines whether or not the access permission condition is satisfied for the corresponding access request. To do. In this determination, the policy determination unit 180 refers to the authentication result obtained by the authentication device 190 authenticating the user of the access request source device 110 or the application program operating on the access request source device 110. The authentication device 190 authenticates the user or application program of the access request source device 110 and permits the connection to the access execution device 120 when it is correctly authenticated.

以上において、アクセス管理システム１０は、複数のアクセス執行装置１２０がポリシー判定装置１７０にアクセス許可条件の判定を要求する構成を採ってもよい。また、データベース１００、アクセス要求元装置１１０及びアクセス執行装置１２０の少なくとも２つが同一のクライアントコンピュータ上に実装される構成を採ってもよい。また、アクセス執行装置１２０及びポリシー判定装置１７０は、同一のコンピュータ上に実装される構成を採ってもよい。   As described above, the access management system 10 may be configured such that a plurality of access execution devices 120 request the policy determination device 170 to determine access permission conditions. In addition, a configuration in which at least two of the database 100, the access request source device 110, and the access execution device 120 are mounted on the same client computer may be adopted. Further, the access execution device 120 and the policy determination device 170 may be configured to be mounted on the same computer.

図３は、本実施形態に係るアクセス許可条件の一例を示す。ポリシー判定部１８０により判定されるプライバシー・ポリシーは、複数のステートメントSi（i=1,2,3,…）のＡＮＤ／ＯＲ結合によるアクセス許可条件として規定される。各ステートメントは、アクセス要求の送信元が属するユーザグループと、個人情報を利用する利用目的と、アクセス対象のデータ種別と、個人情報の内容に基づくデータ利用条件とに基づいて真偽が判定される関数である。 FIG. 3 shows an example of access permission conditions according to the present embodiment. The privacy policy determined by the policy determination unit 180 is defined as an access permission condition by AND / OR combination of a plurality of statements S i (i = 1, 2, 3,...). Each statement is determined to be true or false based on the user group to which the source of the access request belongs, the purpose of using personal information, the type of data to be accessed, and the data usage conditions based on the contents of the personal information. It is a function.

より具体的には、ステートメントSiは、アクセス要求の要求元が当該ステートメントの対象となるユーザグループに属しているか否かを判定するユーザグループ判定関数Giと、個人情報の利用目的が当該ステートメントの対象となる利用目的に合致するか否かを判定する利用目的判定関数Piと、アクセス対象のデータ種別が当該ステートメントの対象となるデータ種別か否かを判定するデータ種別判定関数Tiと、アクセス対象の個人情報が当該ステートメントの対象となるデータ利用条件を満たすか否かを判定するデータ利用条件判定関数Ciとが全て真、すなわち全て満たされている場合に真となる。ここで、データ利用条件判定関数Ciは、１以上の部分条件Cij（j=1,2,3,…）のＡＮＤ条件により規定される。 More specifically, the statement S i includes a user group determination function G i that determines whether the request source of the access request belongs to a user group that is a target of the statement, and the purpose of use of personal information is the statement. A purpose-of-use determination function P i that determines whether or not the target purpose of use matches, and a data type determination function T i that determines whether or not the data type of the access target is a data type that is the target of the statement, This is true when all of the data usage condition determination functions C i for determining whether or not the personal information to be accessed satisfies the data usage condition that is the target of the statement are true, that is, all are satisfied. Here, the data use condition determination function C i is defined by an AND condition of one or more partial conditions C ij (j = 1, 2, 3,...).

アクセス許可条件を評価するポリシー判定関数F(u,p,t,s)は、アクセス要求の送信元のユーザuと、利用目的pと、アクセス対象のデータ種別tと、アクセスの対象となる個人情報を特定するサブジェクトsとを入力とし、複数のステートメントのＡＮＤ／ＯＲ結合により規定される。本実施形態において、ユーザuは、アクセス要求元装置１１０の使用者又はアクセス要求元装置１１０上で動作するアプリケーションプログラムの認証時に認証装置１９０により発行される当該ユーザの証明情報に基づいて特定される。また、利用目的pは、データベース１００をアクセスするアプリケーションプログラム等のアプリケーション名、メソッド名、又は、トランザクション名等から特定される。また、アクセス対象のデータ種別t及びサブジェクトsは、アクセス要求の対象となる項目名及び個人情報を特定するキー値等に基づき特定される。   The policy decision function F (u, p, t, s) that evaluates the access permission conditions includes the user u who sent the access request, the purpose of use p, the data type t to be accessed, and the individual to be accessed. Subject s specifying information is input and is defined by AND / OR combination of a plurality of statements. In the present embodiment, the user u is specified based on the user's certification information issued by the authentication device 190 when authenticating the user of the access request source device 110 or the application program operating on the access request source device 110. . The purpose of use p is specified from an application name such as an application program that accesses the database 100, a method name, or a transaction name. Further, the data type t and the subject s to be accessed are specified based on the item name and the key value for specifying the personal information to be accessed.

アクセス管理システム１０は、(u,p,t,s)を入力としてアクセス許可条件F(u,p,t,s)を判定する。より具体的には、アクセス要求元装置１１０からアクセス要求を受信すると、アクセス執行装置１２０内の部分条件判定部１３０は、受信したアクセス要求についての(u,p,t,s)を取得する。次に、部分条件判定部１３０は、データベース１００に格納された複数の個人情報のうち、サブジェクトsで指定される個人情報の内容に基づいて、データ利用条件判定関数Ciに含まれる複数の部分条件Cijのそれぞれが満たされているか否かを判定する。これらの部分条件は、例えば「年齢が２０歳以上である」等の個人情報の内容に基づいて判定されるべき部分条件を含むため、アクセス執行装置１２０内で判定することによってポリシー判定装置１７０内のポリシー判定部１８０が全てのアクセス要求についてデータベース１００を参照するのを防ぐことができる。 The access management system 10 determines the access permission condition F (u, p, t, s) using (u, p, t, s) as input. More specifically, when an access request is received from the access request source device 110, the partial condition determination unit 130 in the access execution device 120 acquires (u, p, t, s) for the received access request. Next, the partial condition determination unit 130 includes a plurality of portions included in the data use condition determination function C i based on the content of the personal information specified by the subject s among the plurality of personal information stored in the database 100. It is determined whether or not each of the conditions C ij is satisfied. Since these partial conditions include partial conditions to be determined based on the content of personal information such as “age is over 20 years old”, for example, it is determined in the access execution device 120 and determined in the policy determination device 170 It is possible to prevent the policy determination unit 180 from referring to the database 100 for all access requests.

そして、判定結果取得部１４５は、アクセス許可条件をアクセス執行装置１２０の内部で判定できないと判断した場合、(u,p,t,Zts)（ただし、Ztsは複数の部分条件Cijのそれぞれの判定結果の集合を示す）を含むアクセス評価条件判定要求をポリシー判定部１８０へ送信する。アクセス評価条件判定要求を受けると、ポリシー判定部１８０は、(u,p,t)に基づいて、ユーザグループ判定関数Gi、利用目的判定関数Pi、及び、データ種別判定関数Tiが満たされているか否かを判定し、アクセス許可条件の判定結果F(u,p,t,s)を返信する。 If the determination result acquisition unit 145 determines that the access permission condition cannot be determined inside the access execution device 120, (u, p, t, Z ts ) (where Z ts is a plurality of partial conditions C ij An access evaluation condition determination request including each determination result set) is transmitted to the policy determination unit 180. Upon receiving the access evaluation condition determination request, the policy determination unit 180 satisfies the user group determination function G i , the usage purpose determination function P i , and the data type determination function T i based on (u, p, t). It is determined whether or not the access is permitted, and the determination result F (u, p, t, s) of the access permission condition is returned.

以上において、図３に示したポリシー判定関数F(u,p,t,s)によれば、ステートメントS1,S2,S3のいずれかと、ステートメントS4,S5のいずれかとが真である場合に、アクセス許可条件が真となる。各ステートメントは、ユーザグループ判定関数Gi、利用目的判定関数Pi、及びデータ種別判定関数Tiと、部分条件CijとのＡＮＤ結合により表されるため、ポリシー判定関数に基づき予め定まるステートメントの組{S1,S4}、{S1,S5}、{S2,S4}、{S2,S5}、{S3,S4}、及び{S3,S5}のそれぞれについて、当該ステートメントの組に含まれる全ステートメント中の全ての部分条件Cijが満たされる場合に、他のステートメント中の部分条件Cijの真偽に関わらずアクセス許可条件が満たされる。 In the above, according to the policy determination function F (u, p, t, s) shown in FIG. 3, one of the statements S 1 , S 2 , S 3 and one of the statements S 4 , S 5 is true. In some cases, the access permission condition is true. Each statement is expressed by AND combination of the user group determination function G i , the usage purpose determination function P i , the data type determination function T i, and the partial condition C ij . For the pairs {S 1 , S 4 }, {S 1 , S 5 }, {S 2 , S 4 }, {S 2 , S 5 }, {S 3 , S 4 }, and {S 3 , S 5 } For each, when all the partial conditions C ij in all statements included in the set of statements are satisfied, the access permission condition is satisfied regardless of whether the partial conditions C ij in other statements are true or false.

このため例えば、第１のアクセス要求について複数の部分条件Cijのそれぞれの判定結果zijが{z11,z12,z13,z31,z51}=(1,0,0,1,1)（ただし、1は真、0は偽を示す）であり、かつ、アクセス許可条件の判定結果が真であった場合、以上に示したポリシー判定関数の性質上z12及びz13の真偽に関わらずアクセス許可条件の判定結果は真となる。したがって、アクセス許可条件の要素となる、複数の部分条件以外の判定条件が同一であることを前提とし、同一の(u,p,t)について考慮すると、第２のアクセス要求について例えば{z11,z12,z13,z31,z51} = (1,0,1,1,1)であった場合、包含関係判定部１４０は、第１のアクセス要求について判定結果格納部１３５に格納された判定結果情報に基づいて、第２のアクセス要求がアクセス許可条件を満たすと判定することができる。すなわち、包含関係判定部１４０は、アクセス要求における少なくとも１つの部分条件についての判定結果が判定結果情報における当該部分条件についての判定結果と異なる場合において、判定結果格納部１３５に格納された判定結果情報がアクセス要求に対して、当該判定結果情報において満たされている全ての部分条件がアクセス要求においても満たされ、かつ、判定結果情報においてアクセス許可条件が満たされている関係である第１包含関係を有する場合に、アクセス要求がアクセス許可条件を満たすと判定する。本実施形態においては、判定結果情報がアクセス要求に対して第１包含関係を有する場合に、判定結果情報についての複数の部分条件の判定結果の集合Ztsは、アクセス要求についての複数の部分条件の判定結果の集合Zts'をカバーすると表現する。 Therefore, for example, the determination result z ij of each of the plurality of partial conditions C ij for the first access request is {z 11 , z 12 , z 13 , z 31 , z 51 } = (1,0,0,1, 1) (however, 1 indicates true, 0 indicates false), and the determination result of the access permission condition is true, z 12 and z 13 are true due to the nature of the policy determination function described above. The determination result of the access permission condition is true regardless of false. Therefore, on the premise that the determination conditions other than a plurality of partial conditions that are elements of the access permission condition are the same, considering the same (u, p, t), the second access request is, for example, {z 11 , z 12 , z 13 , z 31 , z 51 } = (1,0,1,1,1), the inclusion relationship determination unit 140 stores the first access request in the determination result storage unit 135. Based on the determined determination result information, it can be determined that the second access request satisfies the access permission condition. That is, the inclusion relationship determination unit 140 determines the determination result information stored in the determination result storage unit 135 when the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information. For an access request, a first inclusion relationship that is a relationship in which all partial conditions satisfied in the determination result information are also satisfied in the access request and an access permission condition is satisfied in the determination result information. If so, it is determined that the access request satisfies the access permission condition. In the present embodiment, when the determination result information has a first inclusion relationship with respect to the access request, the determination result set Z ts of the plurality of partial conditions for the determination result information is the plurality of partial conditions for the access request. It expresses that it covers the set Z ts ′ of the judgment results of.

同様に、図３に示したポリシー判定関数F(u,p,t,s)によれば、ポリシー判定関数に基づき予め定まるステートメントの組{S1,S2,S3}及び{S4,S5}のそれぞれについて、当該ステートメントの組に含まれる全ステートメント中の全ての部分条件Cijが満たされていない場合に、他のステートメント中の部分条件Cijの真偽に関わらずアクセス許可条件が満たされない。 Similarly, according to the policy determination function F (u, p, t, s) shown in FIG. 3, a set of statements {S 1 , S 2 , S 3 } and {S 4 , For each of S 5 }, when all the partial conditions C ij in all statements included in the set of statements are not satisfied, the access permission condition regardless of whether the partial conditions C ij in other statements are true or false Is not satisfied.

このため例えば、第１のアクセス要求について{z11,z12,z13,z31,z51}=(1,0,0,0,1)であり、かつ、アクセス許可条件の判定結果が偽であった場合、以上に示したポリシー判定関数の性質上z11及びz51の真偽に関わらずアクセス許可条件の判定結果は偽となる。したがって、第２のアクセス要求について例えば{z11,z12,z13,z31,z51}=(1,0,0,0,0)であった場合、包含関係判定部１４０は、第１のアクセス要求について判定結果格納部１３５に格納された判定結果情報に基づいて、第２のアクセス要求がアクセス許可条件を満たさないと判定することができる。すなわち、包含関係判定部１４０は、アクセス要求における少なくとも１つの部分条件についての判定結果が判定結果情報における当該部分条件についての判定結果と異なる場合において、判定結果情報がアクセス要求に対して、判定結果情報において満たされていない全ての部分条件がアクセス要求においても満たされ、かつ、判定結果情報においてアクセス許可条件が満たされていない関係である第２包含関係を有する場合に、アクセス要求がアクセス許可条件を満たさないと判定する。本実施形態においては、判定結果情報がアクセス要求に対して第２包含関係を有する場合についても、判定結果情報についての複数の部分条件の判定結果の集合Ztsは、アクセス要求についての複数の部分条件の判定結果の集合Zts"をカバーすると表現する。 Therefore, for example, for the first access request, {z 11 , z 12 , z 13 , z 31 , z 51 } = (1,0,0,0,1) and the determination result of the access permission condition is If it is false, the determination result of the access permission condition is false regardless of whether the z 11 and z 51 are true or false due to the nature of the policy determination function described above. Therefore, when the second access request is, for example, {z 11 , z 12 , z 13 , z 31 , z 51 } = (1,0, 0, 0, 0), the inclusion relationship determining unit 140 Based on the determination result information stored in the determination result storage unit 135 for one access request, it can be determined that the second access request does not satisfy the access permission condition. That is, the inclusion relationship determination unit 140 determines that the determination result information is determined for the access request when the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information. When all partial conditions not satisfied in the information are satisfied in the access request and the access request has the second inclusion relationship that is a relationship in which the access permission condition is not satisfied in the determination result information, the access request is in the access permission condition. Is determined not to be satisfied. In the present embodiment, even when the determination result information has the second inclusion relation with respect to the access request, the determination result set Z ts of the plurality of partial conditions for the determination result information is the plurality of portions for the access request. It is expressed as covering the set of condition judgment results Z ts ".

図４は、本実施形態に係る判定結果格納部１３５の一例を表形式により示す。判定結果格納部１３５は、ポリシー判定部１８０によりアクセス許可条件が判定された１又は複数の判定結果情報を格納する。本実施形態において判定結果格納部１３５は、判定結果情報として、判定結果取得部１４５からポリシー判定部１８０に送信したアクセス許可条件判定要求に含まれるユーザu、利用目的p、データ種別t、及び複数の部分条件のそれぞれの判定結果zijと、当該アクセス許可条件判定要求に対するアクセス許可条件の判定結果F(u,p,t,s)と、判定結果情報削減部１６０により他の判定結果情報との間の包含関係を判定したか否かを示す包含関係判定済情報vとを対応付けて格納する。 FIG. 4 shows an example of the determination result storage unit 135 according to the present embodiment in a table format. The determination result storage unit 135 stores one or more pieces of determination result information for which the access permission condition has been determined by the policy determination unit 180. In this embodiment, the determination result storage unit 135 includes, as determination result information, the user u, the purpose of use p, the data type t, and the plurality of items included in the access permission condition determination request transmitted from the determination result acquisition unit 145 to the policy determination unit 180. The determination result z ij of each partial condition, the determination result F (u, p, t, s) of the access permission condition for the access permission condition determination request, and other determination result information by the determination result information reduction unit 160 Inclusion relation determined information v indicating whether or not the inclusion relation between the two has been determined is stored in association with each other.

判定結果更新部１５５は、アクセス要求についてのアクセス許可条件の判定結果を判定結果取得部１４５が受信した場合に、当該アクセス要求についての判定結果情報を判定結果格納部１３５に格納する。そして、判定結果情報削減部１６０は、判定結果格納部１３５に格納された第１の判定結果情報が第２の判定結果情報に対して、前述の第１包含関係又は第2包含関係を有する場合に、第２の判定結果情報を判定結果格納部１３５から削除する。これにより、判定結果情報削減部１６０は、判定結果格納部１３５に格納される判定結果情報の数を低減することができ、包含関係判定部１４０による包含関係の判定を高速化することができる。   When the determination result acquisition unit 145 receives the determination result of the access permission condition for the access request, the determination result update unit 155 stores the determination result information for the access request in the determination result storage unit 135. Then, the determination result information reduction unit 160 has a case where the first determination result information stored in the determination result storage unit 135 has the first inclusion relationship or the second inclusion relationship with respect to the second determination result information. In addition, the second determination result information is deleted from the determination result storage unit 135. Thereby, the determination result information reduction unit 160 can reduce the number of determination result information stored in the determination result storage unit 135, and can speed up the determination of the inclusion relationship by the inclusion relationship determination unit 140.

本実施形態に係る判定結果情報削減部１６０は、上記の処理を高速化するために、包含関係判定済情報を用いる。すなわち、判定結果更新部１５５は、アクセス要求に対してアクセス許可条件の判定結果を判定結果取得部１４５が受信した場合に、当該アクセス要求についての判定結果情報を、包含関係の判定を行っていないことを示す包含関係判定済情報（=0）として判定結果格納部１３５に格納する。次に、判定結果情報削減部１６０は、判定結果更新部１５５により判定結果格納部１３５に新たに格納された、包含関係の判定が行われていない第１の判定結果情報が、当該第１の判定結果情報の格納前に判定結果格納部１３５に既に格納されていた、包含関係の判定が既に行われているいずれかの判定結果情報である第２の判定結果情報に対して第１包含関係又は第２包含関係を有する場合に、第２の判定結果情報を判定結果格納部１３５から削除する。また、判定結果情報削減部１６０は、判定結果更新部１５５により判定結果格納部１３５に新たに格納された、包含関係の判定が行われていない第１の判定結果情報と、当該第１の判定結果情報の格納前に判定結果格納部１３５に既に格納されていた、包含関係の判定が既に行われているいずれかの判定結果情報である第２の判定結果情報とが、第２の判定結果情報が第１の判定結果情報に対して第１包含関係又は第２包含関係を有する場合に、第１の判定結果情報を判定結果格納部１３５から削除する。そして、判定結果情報削減部１６０は、包含関係判定済情報が1である全ての判定結果情報との包含関係の判定を終えた判定結果情報についての包含関係判定済情報を1とする。   The determination result information reduction unit 160 according to the present embodiment uses inclusion relationship determined information in order to speed up the above processing. That is, when the determination result acquisition unit 145 receives the determination result of the access permission condition for the access request, the determination result update unit 155 does not determine the inclusion relation of the determination result information regarding the access request. Is stored in the determination result storage unit 135 as inclusive relationship determination completed information (= 0). Next, the determination result information reduction unit 160 stores the first determination result information that has been newly stored in the determination result storage unit 135 by the determination result update unit 155 and has not been included in the determination of the inclusion relationship. The first inclusion relation with respect to the second determination result information that is one of the determination result information already stored in the determination result storage unit 135 before the determination result information has been already determined. Alternatively, when it has the second inclusion relationship, the second determination result information is deleted from the determination result storage unit 135. In addition, the determination result information reduction unit 160 includes first determination result information that is newly stored in the determination result storage unit 135 by the determination result update unit 155 and that has not been included, and the first determination result information. The second determination result is the second determination result information that is already stored in the determination result storage unit 135 before storing the result information and that is one of the determination result information that has already been determined for inclusion. When the information has the first inclusion relationship or the second inclusion relationship with respect to the first determination result information, the first determination result information is deleted from the determination result storage unit 135. Then, the determination result information reduction unit 160 sets the inclusion relationship determined information for the determination result information for which the determination of the inclusion relationship with all the determination result information for which the inclusion relationship determined information is 1 is 1.

以上に示した処理により、判定結果情報削減部１６０は、包含関係判定済情報に基づいて、判定結果更新部１５５により判定結果格納部１３５に格納された判定結果情報のうち、他の判定結果情報との包含関係の判定を行っていない判定結果情報を効率良く選択し、包含関係の判定を行うことができる。   Through the processing described above, the determination result information reduction unit 160 uses the other determination result information among the determination result information stored in the determination result storage unit 135 by the determination result update unit 155 based on the inclusion relationship determined information. It is possible to efficiently select determination result information for which the determination of the inclusion relation is not performed and to determine the inclusion relation.

以上において判定結果情報削減部１６０は、判定結果格納部１３５に格納された判定結果情報の数が予め設定された許容値を超えた場合に、判定結果格納部１３５に格納された判定結果情報のうち、アクセス要求に対して第１包含関係又は第２包含関係を有すると最後に判定された時刻が最も古い判定結果情報を判定結果格納部１３５から削除してよい。
これに代えて判定結果情報削減部１６０は、アクセス許可条件の判定結果が真であり、かつ、複数の部分条件の判定結果において偽の数が最小の判定結果情報、及び、アクセス許可条件の判定結果が偽であり、かつ、複数の部分条件の判定結果において偽の数が最大の判定結果情報を判定結果格納部１３５から削除してもよい。これにより判定結果情報削減部１６０は、複数の部分条件の判定結果についてより多くのパターンをカバーする判定結果情報を優先して判定結果格納部１３５に残留させることができる。 In the above, the determination result information reduction unit 160 stores the determination result information stored in the determination result storage unit 135 when the number of pieces of determination result information stored in the determination result storage unit 135 exceeds a preset allowable value. Among them, the determination result information with the oldest time determined to have the first inclusion relationship or the second inclusion relationship with respect to the access request may be deleted from the determination result storage unit 135.
Instead, the determination result information reduction unit 160 determines that the determination result of the access permission condition is true and the determination result information with the smallest number of falses among the determination results of the plurality of partial conditions and the determination of the access permission condition The determination result information having a maximum false number among the determination results of the plurality of partial conditions may be deleted from the determination result storage unit 135. As a result, the determination result information reduction unit 160 can preferentially leave determination result information covering a larger number of determination results for a plurality of partial conditions in the determination result storage unit 135.

また、以上において判定結果取得部１４５は、あるアクセス要求に対するアクセス許可条件の判定結果が真の場合に、当該アクセス要求についての少なくとも１つの部分条件を真から偽に置換したアクセス許可条件判定要求をポリシー判定部１８０に送信し、複数の部分条件の判定結果についてより多くのパターンをカバーする判定結果情報を取得することを試みてもよい。   In addition, in the above, when the determination result of the access permission condition for a certain access request is true, the determination result acquisition unit 145 issues an access permission condition determination request in which at least one partial condition for the access request is replaced from true to false. You may transmit to the policy determination part 180, and may try to acquire the determination result information which covers more patterns about the determination result of several partial conditions.

より具体的には、判定結果取得部１４５は、第１のアクセス許可条件判定要求に対してポリシー判定装置１７０からアクセス許可条件を満たすことを示す判定結果を受信した場合に、第１のアクセス許可条件判定要求に含まれる複数の部分条件のそれぞれの判定結果のうち、当該部分条件が満たされることを示す少なくとも１つの判定結果を当該部分条件が満たされないことを示す判定結果に置換した第２のアクセス許可条件判定要求をポリシー判定装置１７０へ送信する。
そして、判定結果更新部１５５は、第２のアクセス許可条件判定要求に対してアクセス許可条件を満たさないことを示す判定結果を受信した場合に、第１のアクセス許可条件判定要求についての複数の部分条件のそれぞれの判定結果と、第１のアクセス許可条件判定要求に対するアクセス許可条件の判定結果とを対応付けて判定結果情報として判定結果格納部１３５に格納させる。一方、第２のアクセス許可条件判定要求に対してアクセス許可条件を満たすことを示す判定結果を受信した場合に、第２のアクセス許可条件判定要求についての複数の部分条件のそれぞれの判定結果と、第２のアクセス許可条件判定要求に対するアクセス許可条件の判定結果とを対応付けて判定結果情報として判定結果格納部１３５に格納させる。 More specifically, the determination result acquisition unit 145 receives the first access permission when receiving a determination result indicating that the access permission condition is satisfied from the policy determination apparatus 170 in response to the first access permission condition determination request. A second result obtained by replacing at least one determination result indicating that the partial condition is satisfied among the determination results of the plurality of partial conditions included in the condition determination request with a determination result indicating that the partial condition is not satisfied An access permission condition determination request is transmitted to the policy determination apparatus 170.
When the determination result update unit 155 receives a determination result indicating that the access permission condition is not satisfied with respect to the second access permission condition determination request, the determination result update unit 155 includes a plurality of parts for the first access permission condition determination request. Each determination result of the condition and the determination result of the access permission condition for the first access permission condition determination request are associated with each other and stored in the determination result storage unit 135 as determination result information. On the other hand, when a determination result indicating that the access permission condition is satisfied with respect to the second access permission condition determination request is received, each determination result of the plurality of partial conditions for the second access permission condition determination request; The determination result of the access permission condition with respect to the second access permission condition determination request is associated with and stored in the determination result storage unit 135 as determination result information.

同様に判定結果取得部１４５は、あるアクセス要求に対するアクセス許可条件の判定結果が偽の場合に、当該アクセス要求についての少なくとも１つの部分条件を偽から真に置換したアクセス許可条件判定要求をポリシー判定部１８０に送信し、複数の部分条件の判定結果についてより多くのパターンをカバーする判定結果情報を取得することを試みてもよい。   Similarly, when the determination result of the access permission condition for a certain access request is false, the determination result acquisition unit 145 determines an access permission condition determination request by replacing at least one partial condition for the access request from false to true. It may be transmitted to the unit 180 and an attempt may be made to acquire determination result information that covers more patterns for the determination results of the plurality of partial conditions.

より具体的には、判定結果取得部１４５は、第１のアクセス許可条件判定要求に対してポリシー判定装置１７０からアクセス許可条件を満たさないことを示す判定結果を受信した場合に、第１のアクセス許可条件判定要求に含まれる複数の部分条件のそれぞれの判定結果のうち、当該部分条件が満たされていないことを示す少なくとも１つの判定結果を当該部分条件が満たされていることを示す判定結果に置換した第２のアクセス許可条件判定要求をポリシー判定装置１７０へ送信する。
そして、判定結果更新部１５５は、第２のアクセス許可条件判定要求に対してアクセス許可条件を満たすことを示す判定結果を受信した場合に、第１のアクセス許可条件判定要求についての複数の部分条件のそれぞれの判定結果と、第１のアクセス許可条件判定要求に対するアクセス許可条件の判定結果とを対応付けて判定結果情報として判定結果格納部１３５に格納させる。一方、第２のアクセス許可条件判定要求に対してアクセス許可条件を満たさないことを示す判定結果を受信した場合に、第２のアクセス許可条件判定要求についての複数の部分条件のそれぞれの判定結果と、第２のアクセス許可条件判定要求に対するアクセス許可条件の判定結果とを対応付けて判定結果情報として判定結果格納部１３５に格納させる。 More specifically, the determination result acquisition unit 145 receives the determination result indicating that the access permission condition is not satisfied from the policy determination apparatus 170 in response to the first access permission condition determination request. Among the determination results of the plurality of partial conditions included in the permission condition determination request, at least one determination result indicating that the partial condition is not satisfied is used as a determination result indicating that the partial condition is satisfied. The replaced second access permission condition determination request is transmitted to the policy determination apparatus 170.
Then, when the determination result update unit 155 receives a determination result indicating that the access permission condition is satisfied with respect to the second access permission condition determination request, the plurality of partial conditions regarding the first access permission condition determination request And the determination result of the access permission condition for the first access permission condition determination request are stored in the determination result storage unit 135 as determination result information. On the other hand, when a determination result indicating that the access permission condition is not satisfied with respect to the second access permission condition determination request is received, each of the determination results of the plurality of partial conditions for the second access permission condition determination request The determination result of the access permission condition in response to the second access permission condition determination request is associated with the determination result information and stored in the determination result storage unit 135.

上記の様に、あるアクセス要求に対するアクセス許可条件の判定結果を受信した場合に、包含関係判定部１４０がより多くのパターンをカバーする判定結果情報の取得を試みることにより、アクセス執行装置１２０は、アクセス要求を受けた後にポリシー判定装置１７０にアクセス許可条件判定要求を送信する確率を減らすことができ、アクセス要求を処理する際のレスポンス時間を低減することができる。   As described above, when the determination result of the access permission condition for a certain access request is received, the access execution device 120 causes the inclusion relationship determination unit 140 to try to acquire determination result information that covers more patterns. The probability of transmitting the access permission condition determination request to the policy determination apparatus 170 after receiving the access request can be reduced, and the response time when processing the access request can be reduced.

以上において部分条件送信部１７５は、全ての部分条件Cijのそれぞれを規定する部分条件関数を部分条件判定部１３０へ送信するのに代えて、例えばデータ種別判定関数Ti等の判定関数の少なくとも１つが真となるステートメントに含まれる部分条件を規定する部分条件関数を部分条件判定部１３０へ送信してもよい。これにより、全ての部分条件関数及び全ての部分条件の判定結果をアクセス執行装置１２０及びポリシー判定装置１７０間で授受する場合と比較し、アクセス執行装置１２０とポリシー判定装置１７０の間の通信量を低減することができる。 Partial conditional transmission section 175 in above, the partial conditional function defining each of all partial conditional C ij Instead of sending to the partial conditional decision unit 130, such as at least the determination function, such as data type determination function T i A partial condition function that defines a partial condition included in a statement for which one is true may be transmitted to the partial condition determination unit 130. As a result, the amount of communication between the access execution device 120 and the policy determination device 170 is compared with a case where all partial condition functions and determination results of all partial conditions are exchanged between the access execution device 120 and the policy determination device 170. Can be reduced.

図５は、本実施形態に係るアクセス管理システム１０の、アクセス処理動作フローを示す。
アクセス執行装置１２０がアクセス要求元装置１１０からのアクセス要求を受けると、部分条件判定部１３０は、複数の部分条件のそれぞれについて、アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する（ステップＳ５００）。次に、包含関係判定部１４０は、複数の部分条件以外の判定条件が同一であることを前提として、全ての部分条件の判定結果が当該アクセス要求と同一である判定結果情報が判定結果格納部１３５に格納されている場合（Ｓ５０５：Ｙｅｓ）、当該アクセス要求についてのアクセス許可条件の判定結果を、当該判定結果情報に含まれるアクセス許可条件の判定結果として処理をＳ５６０へ進める（Ｓ５１０）。以下同様に、アクセス要求及び判定結果情報の部分条件の比較においては、複数の部分条件以外の判定条件が同一であることを前提とする。 FIG. 5 shows an access processing operation flow of the access management system 10 according to the present embodiment.
When the access execution device 120 receives an access request from the access request source device 110, the partial condition determination unit 130 displays, for each of a plurality of partial conditions, a determination result that determines whether the access request satisfies the partial condition. Output (step S500). Next, the inclusion relationship determination unit 140 assumes that determination conditions other than a plurality of partial conditions are the same, and determination result information in which the determination results of all partial conditions are the same as the access request is a determination result storage unit If it is stored in 135 (S505: Yes), the process proceeds to S560 with the determination result of the access permission condition for the access request as the determination result of the access permission condition included in the determination result information (S510). Similarly, in the comparison of the partial conditions of the access request and the determination result information, it is assumed that the determination conditions other than the plurality of partial conditions are the same.

当該アクセス要求における少なくとも１つの部分条件についての判定結果が判定結果情報における当該部分条件についての判定結果と異なる場合において（Ｓ５０５：Ｎｏ）、判定結果格納部１３５に格納された少なくとも１つの判定結果情報が、当該アクセス要求に対して第１包含関係を有する場合（Ｓ５１５：Ｙｅｓ）に、包含関係判定部１４０は、当該アクセス要求がアクセス許可条件を満たすと判定し、処理をＳ５６０へ進める（Ｓ５２５）。   When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information (S505: No), at least one determination result information stored in the determination result storage unit 135 However, if the access request has the first inclusion relationship (S515: Yes), the inclusion relationship determination unit 140 determines that the access request satisfies the access permission condition, and advances the processing to S560 (S525). .

また、当該アクセス要求における少なくとも１つの部分条件についての判定結果が判定結果情報における当該部分条件についての判定結果と異なる場合において（Ｓ５０５：Ｎｏ）、判定結果格納部１３５に格納された少なくとも１つの判定結果情報が、当該アクセス要求に対して第２包含関係を有する場合（Ｓ５３０：Ｙｅｓ）に、包含関係判定部１４０は、当該アクセス要求がアクセス許可条件を満たさないと判定し、処理をＳ５６０へ進める（Ｓ５４０）。   Further, when the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information (S505: No), at least one determination stored in the determination result storage unit 135 When the result information has the second inclusion relationship for the access request (S530: Yes), the inclusion relationship determination unit 140 determines that the access request does not satisfy the access permission condition, and advances the processing to S560. (S540).

判定結果情報がアクセス要求に対して第１包含関係及び第２包含関係のいずれも有しないと判断された場合（Ｓ５１５：Ｎｏ、Ｓ５３０：Ｎｏ）に、判定結果取得部１４５は、当該アクセス要求についてのアクセス許可条件判定要求をポリシー判定装置１７０へ送信し、当該アクセス要求についてのアクセス許可条件の判定結果をポリシー判定装置１７０から受信する（Ｓ５４５）。   When it is determined that the determination result information has neither the first inclusion relationship nor the second inclusion relationship with respect to the access request (S515: No, S530: No), the determination result acquisition unit 145 determines the access request. The access permission condition determination request is transmitted to the policy determination apparatus 170, and the determination result of the access permission condition for the access request is received from the policy determination apparatus 170 (S545).

次に、当該アクセス要求についてのアクセス許可条件の判定結果を判定結果取得部１４５が受信すると、判定結果更新部１５５は、当該アクセス要求についての判定結果情報を判定結果格納部１３５に格納させる（Ｓ５５０）。次に、判定結果情報削減部１６０は、新たに判定結果格納部１３５に格納された判定結果情報と、既に判定結果格納部１３５に格納されていた判定結果情報とが、第１包含関係又は第２包含関係を有する場合に、包含される判定結果情報を削除する（Ｓ５５５）。   Next, when the determination result acquisition unit 145 receives the determination result of the access permission condition for the access request, the determination result update unit 155 stores the determination result information for the access request in the determination result storage unit 135 (S550). ). Next, the determination result information reduction unit 160 determines whether the determination result information newly stored in the determination result storage unit 135 and the determination result information already stored in the determination result storage unit 135 are the first inclusion relationship or the first inclusion relationship. If the two inclusion relationships are included, the included determination result information is deleted (S555).

そして、Ｓ５１０、Ｓ５２５、Ｓ５４０、又はＳ５５５の処理の後、包含関係判定部１４０又はポリシー判定装置１７０内のポリシー判定部１８０により当該アクセス要求がアクセス許可条件を満たすと判定された場合、アクセス処理部１５０は、当該アクセス要求に対してデータベース１００のアクセスを許可し、当該アクセス要求に基づいてデータベース１００をアクセスして結果をアクセス要求元装置１１０へ返信する（Ｓ５６０）。   Then, after the processing of S510, S525, S540, or S555, if the access determination unit 140 or the policy determination unit 180 in the policy determination device 170 determines that the access request satisfies the access permission condition, the access processing unit 150 permits the access to the database 100 in response to the access request, accesses the database 100 based on the access request, and returns the result to the access request source apparatus 110 (S560).

以上に示したアクセス管理システム１０によれば、 (u,p,t)が同一であり、サブジェクトsが異なる複数のアクセス要求をアクセス執行装置１２０が受信した場合に、第１のアクセス要求についてポリシー判定部１８０によりアクセス許可条件が判定されると、第１のアクセス要求についての判定結果情報が判定結果格納部１３５に格納される。そして、当該判定結果情報が第２のアクセス要求に対して第１包含関係又は第２包含関係を有する場合に、第２のアクセス要求についてのアクセス許可条件をアクセス執行装置１２０内部で判定することができる。   According to the access management system 10 described above, when the access enforcement device 120 receives a plurality of access requests having the same (u, p, t) and different subjects, the policy for the first access request is determined. When the access permission condition is determined by the determination unit 180, determination result information about the first access request is stored in the determination result storage unit 135. Then, when the determination result information has the first inclusion relationship or the second inclusion relationship with respect to the second access request, the access permission condition for the second access request can be determined inside the access execution device 120. it can.

より具体的には、同一のアクセス要求元から第１の個人情報に対する第１のアクセス要求及び第２の個人情報に対する第２のアクセス要求を受信した場合に、部分条件判定部１３０は、Ｓ５００において、複数の部分条件のそれぞれについて第１のアクセス要求が当該部分条件を満たすか否かを第１の個人情報に基づいて判定した判定結果と、複数の部分条件のそれぞれについて第２のアクセス要求が当該部分条件を満たすか否かを第２の個人情報に基づいて判定した判定結果とを出力する。次に、判定結果取得部１４５は、Ｓ５４５において、第１のアクセス要求についてのアクセス許可条件判定要求をポリシー判定装置１７０へ送信し、第１のアクセス要求についてのアクセス許可条件の判定結果をポリシー判定装置１７０から受信する。次に、判定結果更新部１５５は、Ｓ５５０において、第１のアクセス要求についての複数の部分条件のそれぞれの判定結果と、第１のアクセス要求についてのアクセス許可条件の判定結果とを対応付けて判定結果情報として判定結果格納部１３５に格納させる。   More specifically, when the first access request for the first personal information and the second access request for the second personal information are received from the same access request source, the partial condition determination unit 130 determines in S500. The determination result of determining whether or not the first access request satisfies the partial condition for each of the plurality of partial conditions based on the first personal information, and the second access request for each of the plurality of partial conditions A determination result obtained by determining whether or not the partial condition is satisfied based on the second personal information is output. Next, in S545, the determination result acquisition unit 145 transmits an access permission condition determination request for the first access request to the policy determination apparatus 170, and determines the determination result of the access permission condition for the first access request as a policy determination. Receive from device 170. Next, in S550, the determination result update unit 155 determines each of the determination results of the plurality of partial conditions for the first access request and the determination result of the access permission condition for the first access request in association with each other. The result information is stored in the determination result storage unit 135.

次に、包含関係判定部１４０は、Ｓ５１５及びＳ５２５において、第２のアクセス要求における少なくとも１つの部分条件についての判定結果が第１のアクセス要求に対応する判定結果情報における当該部分条件についての判定結果と異なり、当該判定結果情報が第１のアクセス要求に対して第１包含関係を有する場合に、第２のアクセス要求がアクセス許可条件を満たすと判定する。また、包含関係判定部１４０は、Ｓ５３０及びＳ５４０において、第２のアクセス要求における少なくとも１つの部分条件についての判定結果が第１のアクセス要求に対応する判定結果情報における当該部分条件についての判定結果と異なり、当該判定結果情報が第１のアクセス要求に対して第２包含関係を有する場合に、第２のアクセス要求がアクセス許可条件を満たさないと判定する。この結果、アクセス処理部１５０は、第２のアクセス要求については、包含関係判定部１４０によるアクセス許可条件の判定結果に基づいて、データベース１００のアクセス処理を行うことができる。   Next, in S515 and S525, the inclusion relationship determination unit 140 determines the determination result for the partial condition in the determination result information corresponding to the first access request, with the determination result for the at least one partial condition in the second access request. If the determination result information has a first inclusion relationship with respect to the first access request, it is determined that the second access request satisfies the access permission condition. In S530 and S540, the inclusion relationship determination unit 140 determines whether the determination result for the at least one partial condition in the second access request is the determination result for the partial condition in the determination result information corresponding to the first access request. In contrast, when the determination result information has a second inclusion relationship with the first access request, it is determined that the second access request does not satisfy the access permission condition. As a result, for the second access request, the access processing unit 150 can perform the access processing of the database 100 based on the determination result of the access permission condition by the inclusion relationship determination unit 140.

上記に示したユーザu、利用目的p、及びデータ種別tが同一であり、サブジェクトsが異なるアクセスは、複数の個人情報のそれぞれについて同一の項目をデータベース１００から取得する処理である。このような処理は、例えば営業担当者がセールス案内を送るために各個人情報についてのメールアドレスを取得するような場合が挙げられる。本実施形態に係るアクセス管理システム１０によれば、このようなアクセス要求を受けた場合において、ポリシー判定装置１７０によりアクセス許可条件を判定する回数を減らすことができるため、ポリシー判定装置１７０がボトルネックとなるのを防ぐことができる。   The above-described access in which the user u, the purpose of use p, and the data type t are the same and the subject s is different is a process of acquiring the same item from the database 100 for each of a plurality of personal information. An example of such a process is a case where a sales person obtains an e-mail address for each personal information in order to send a sales guide. According to the access management system 10 according to the present embodiment, when such an access request is received, the policy determination device 170 can reduce the number of times the access permission condition is determined by the policy determination device 170. Can be prevented.

より具体的には、アクセス許可条件を満たす全てのアクセス要求についてアクセス執行装置１２０内部でアクセス許可条件を判定するためには、アクセス執行装置１２０は、少なくともアクセス許可条件を加法標準形で表した場合の項数ρadd分の判定結果情報を判定結果格納部１３５に格納する必要がある。同様に、アクセス許可条件を満たさない全てのアクセス要求についてアクセス執行装置１２０内部でアクセス許可条件を判定するためには、アクセス執行装置１２０は、少なくともアクセス許可条件を情報標準形で表した場合の項数ρmulti分の判定結果情報を判定結果格納部１３５に格納する必要がある。したがって、アクセス管理システム１０は、最小で(ρadd+ρmulti)回ポリシー判定装置１７０にアクセス許可条件を判定させれば、以後(u,p,t)が同一の全てのアクセス要求についてアクセス執行装置１２０内部でアクセス許可条件を判定することができる。このアクセス許可条件の判定回数の最小値は、個人情報の個数や複数の部分条件の組合せの数と比較し大幅に少ないのが一般的である。このため、実際には余分にポリシー判定装置１７０によりアクセス許可条件を判定したとしても、アクセス管理システム１０は、ポリシー判定装置１７０によるアクセス許可条件の判定回数を大幅に低減させることができる。 More specifically, in order to determine the access permission condition within the access execution device 120 for all access requests that satisfy the access permission condition, the access execution device 120 represents at least the access permission condition in an additive standard form. It is necessary to store determination result information for the number of terms ρ add in the determination result storage unit 135. Similarly, in order to determine the access permission condition inside the access execution device 120 for all access requests that do not satisfy the access permission condition, the access execution device 120 must at least include the item in the case where the access permission condition is expressed in the information standard form. It is necessary to store determination result information for several ρ multi in the determination result storage unit 135. Therefore, if the access management system 10 causes the policy determination device 170 to determine the access permission condition at least (ρ add + ρ multi ) times, the access execution is performed for all access requests having the same (u, p, t) thereafter. Access permission conditions can be determined within the device 120. In general, the minimum number of times of determination of the access permission condition is significantly smaller than the number of personal information and the number of combinations of a plurality of partial conditions. For this reason, even if the access permission condition is actually determined by the policy determination device 170 in practice, the access management system 10 can greatly reduce the number of times the access permission condition is determined by the policy determination device 170.

なお、以上において包含関係判定部１４０は、Ｓ５１５とＳ５２５の処理、及び、Ｓ５３０とＳ５４０の処理のうち、いずれか一方のみを実装してもよい。   In the above description, the inclusion relationship determination unit 140 may implement only one of the processes of S515 and S525 and the processes of S530 and S540.

図６は、本実施形態に係るコンピュータ１０００のハードウェア構成の一例を示す。本実施形態に係るコンピュータ１０００は、ホスト・コントローラ９８２により相互に接続されるＣＰＵ９００、ＲＡＭ９２０、グラフィック・コントローラ９７５、及び表示装置９８０を有するＣＰＵ周辺部と、入出力コントローラ９８４によりホスト・コントローラ９８２に接続される通信インターフェイス９３０、ハードディスクドライブ９４０、及びＣＤ−ＲＯＭドライブ９６０を有する入出力部と、入出力コントローラ９８４に接続されるＲＯＭ９１０、フレキシブルディスク・ドライブ９５０、及び入出力チップ９７０を有するレガシー入出力部とを備える。   FIG. 6 shows an example of a hardware configuration of the computer 1000 according to the present embodiment. The computer 1000 according to this embodiment is connected to the CPU peripheral unit including the CPU 900, the RAM 920, the graphic controller 975, and the display device 980, which are connected to each other by the host controller 982, and the host controller 982 by the input / output controller 984. Input / output unit having communication interface 930, hard disk drive 940, and CD-ROM drive 960, and legacy input / output unit having ROM 910, flexible disk drive 950, and input / output chip 970 connected to input / output controller 984 With.

ホスト・コントローラ９８２は、ＲＡＭ９２０と、高い転送レートでＲＡＭ９２０をアクセスするＣＰＵ９００及びグラフィック・コントローラ９７５とを接続する。ＣＰＵ９００は、ＲＯＭ９１０及びＲＡＭ９２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィック・コントローラ９７５は、ＣＰＵ９００等がＲＡＭ９２０内に設けたフレーム・バッファ上に生成する画像データを取得し、表示装置９８０上に表示させる。これに代えて、グラフィック・コントローラ９７５は、ＣＰＵ９００等が生成する画像データを格納するフレーム・バッファを、内部に含んでもよい。   The host controller 982 connects the RAM 920 to the CPU 900 and the graphic controller 975 that access the RAM 920 at a high transfer rate. The CPU 900 operates based on programs stored in the ROM 910 and the RAM 920 and controls each unit. The graphic controller 975 acquires image data generated by the CPU 900 or the like on a frame buffer provided in the RAM 920 and displays it on the display device 980. Alternatively, the graphic controller 975 may include a frame buffer for storing image data generated by the CPU 900 or the like.

入出力コントローラ９８４は、ホスト・コントローラ９８２と、比較的高速な入出力装置である通信インターフェイス９３０、ハードディスクドライブ９４０、ＣＤ−ＲＯＭドライブ９６０を接続する。通信インターフェイス９３０は、ネットワークを介して他の装置と通信する。ハードディスクドライブ９４０は、コンピュータ１０００内のＣＰＵ９００が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ９６０は、ＣＤ−ＲＯＭ９９５からプログラム又はデータを読み取り、ＲＡＭ９２０を介してハードディスクドライブ９４０に提供する。   The input / output controller 984 connects the host controller 982 to the communication interface 930, the hard disk drive 940, and the CD-ROM drive 960, which are relatively high-speed input / output devices. The communication interface 930 communicates with other devices via a network. The hard disk drive 940 stores programs and data used by the CPU 900 in the computer 1000. The CD-ROM drive 960 reads a program or data from the CD-ROM 995 and provides it to the hard disk drive 940 via the RAM 920.

また、入出力コントローラ９８４には、ＲＯＭ９１０と、フレキシブルディスク・ドライブ９５０、及び入出力チップ９７０の比較的低速な入出力装置とが接続される。ＲＯＭ９１０は、コンピュータ１０００が起動時に実行するブート・プログラムや、コンピュータ１０００のハードウェアに依存するプログラム等を格納する。フレキシブルディスク・ドライブ９５０は、フレキシブルディスク９９０からプログラム又はデータを読み取り、ＲＡＭ９２０を介してハードディスクドライブ９４０に提供する。入出力チップ９７０は、フレキシブルディスク・ドライブ９５０や、例えばパラレル・ポート、シリアル・ポート、キーボード・ポート、マウス・ポート等を介して各種の入出力装置を接続する。   The input / output controller 984 is connected to the ROM 910, the flexible disk drive 950, and the relatively low-speed input / output device of the input / output chip 970. The ROM 910 stores a boot program executed when the computer 1000 is started up, a program depending on the hardware of the computer 1000, and the like. The flexible disk drive 950 reads a program or data from the flexible disk 990 and provides it to the hard disk drive 940 via the RAM 920. The input / output chip 970 connects various input / output devices via a flexible disk drive 950 and, for example, a parallel port, a serial port, a keyboard port, a mouse port, and the like.

ＲＡＭ９２０を介してハードディスクドライブ９４０に提供されるプログラムは、フレキシブルディスク９９０、ＣＤ−ＲＯＭ９９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、記録媒体から読み出され、ＲＡＭ９２０を介してコンピュータ１０００内のハードディスクドライブ９４０にインストールされ、ＣＰＵ９００において実行される。   A program provided to the hard disk drive 940 via the RAM 920 is stored in a recording medium such as the flexible disk 990, the CD-ROM 995, or an IC card and provided by the user. The program is read from the recording medium, installed in the hard disk drive 940 in the computer 1000 via the RAM 920, and executed by the CPU 900.

コンピュータ１０００にインストールされてコンピュータ１０００をアクセス執行装置１２０として機能させるプログラムは、部分条件判定モジュールと、判定結果格納部１３５を管理する判定結果管理モジュールと、包含関係判定モジュールと、判定結果取得モジュールと、アクセス処理モジュールと、判定結果更新モジュールと、判定結果情報削減モジュールとを備える。これらのプログラム又はモジュールは、コンピュータ１０００を、部分条件判定部１３０と、判定結果格納部１３５と、包含関係判定部１４０と、判定結果取得部１４５と、アクセス処理部１５０と、判定結果更新部１５５と、判定結果情報削減部１６０としてそれぞれ機能させる。   A program that is installed in the computer 1000 and causes the computer 1000 to function as the access execution device 120 includes a partial condition determination module, a determination result management module that manages the determination result storage unit 135, an inclusion relationship determination module, and a determination result acquisition module. , An access processing module, a determination result update module, and a determination result information reduction module. These programs or modules include the computer 1000, the partial condition determination unit 130, the determination result storage unit 135, the inclusion relationship determination unit 140, the determination result acquisition unit 145, the access processing unit 150, and the determination result update unit 155. And function as the determination result information reduction unit 160, respectively.

また、コンピュータ１０００にインストールされてコンピュータ１０００をポリシー判定装置１７０として機能させるプログラムは、部分条件送信モジュールと、ポリシー判定モジュールとを備える。これらのプログラム又はモジュールは、コンピュータ１０００を、部分条件送信部１７５と、ポリシー判定部１８０としてそれぞれ機能させる。   A program that is installed in the computer 1000 and causes the computer 1000 to function as the policy determination device 170 includes a partial condition transmission module and a policy determination module. These programs or modules cause the computer 1000 to function as the partial condition transmission unit 175 and the policy determination unit 180, respectively.

以上に示したプログラム又はモジュールは、外部の記憶媒体に格納されてもよい。記憶媒体としては、フレキシブルディスク９９０、ＣＤ−ＲＯＭ９９５の他に、ＤＶＤやＰＤ等の光学記録媒体、ＭＤ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムをコンピュータ１０００に提供してもよい。   The program or module shown above may be stored in an external storage medium. As a storage medium, in addition to the flexible disk 990 and the CD-ROM 995, an optical recording medium such as a DVD or PD, a magneto-optical recording medium such as an MD, a tape medium, a semiconductor memory such as an IC card, or the like can be used. Further, a storage device such as a hard disk or RAM provided in a server system connected to a dedicated communication network or the Internet may be used as a recording medium, and the program may be provided to the computer 1000 via the network.

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。   As mentioned above, although this invention was demonstrated using embodiment, the technical scope of this invention is not limited to the range as described in the said embodiment. It will be apparent to those skilled in the art that various modifications or improvements can be added to the above-described embodiment. It is apparent from the scope of the claims that the embodiments added with such changes or improvements can be included in the technical scope of the present invention.

以上に説明した実施形態によれば、以下の各項目に示すデータベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするが実現される。   According to the embodiment described above, when the access request to the database indicated in each of the following items satisfies a predetermined access permission condition, the database is accessed based on the access request.

（項目１）データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムであって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、当該アクセス管理システムは、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置と、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置とを備え、前記アクセス執行装置は、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと判定する包含関係判定部と、前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部とを有するアクセス管理システム。 (Item 1) An access management system that accesses a database based on the access request when an access request to the database satisfies a predetermined access permission condition, wherein the access permission condition is the access permission condition Among the plurality of partial conditions that are elements of the above, when all the partial conditions included in the predetermined first set of partial conditions are satisfied, the access permission condition is satisfied, and the access The management system receives the access request, and when the access request satisfies the access permission condition, an access execution device that permits access to the database, and each determination of the plurality of partial conditions for the access request Receive access permission condition judgment request including result from the access enforcement device A policy determination device that returns a determination result that determines whether or not the access permission condition is satisfied for the access request, wherein the access execution device includes a plurality of determination results of the plurality of partial conditions, A determination result storage unit that associates the determination result of the access permission condition with the determination result and stores it as determination result information, and for each of the plurality of partial conditions, whether or not the access request satisfies the partial condition When the determination result for the partial condition determination unit that outputs the determined determination result and the determination result for the at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information All previous requests that are satisfied in the determination result information for the access request If the access request has a first inclusion relationship that is a relationship in which the partial condition is satisfied even in the access request and the access permission condition is satisfied in the determination result information, the access request is in the access permission condition. An inclusion relationship determination unit that determines that the access request is satisfied, and transmits the access permission condition determination request to the policy determination device when it is determined that the determination result information does not have the first inclusion relationship with respect to the access request. A determination result acquisition unit that receives the determination result of the access permission condition for the access request from the policy determination device; and when the access request is determined to satisfy the access permission condition, the database is accessed. An access management system having an access processing unit to permit.

（項目２）更に前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、前記包含関係判定部は、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たさず、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと更に判定し、前記判定結果取得部は、前記判定結果情報が前記アクセス要求に対して前記第１包含関係及び前記第２包含関係のいずれも有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する項目１記載のアクセス管理システム。 (Item 2) Further, when the access permission condition does not satisfy all of the partial conditions included in the predetermined second set of partial conditions among a plurality of partial conditions that are elements of the access permission condition The access permission condition is not satisfied, and the inclusion relationship determination unit determines that the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information. In the above, for the access request, all the partial conditions not satisfied in the determination result information are not satisfied in the access request, and the access permission condition is satisfied in the determination result information. If the access request has a second inclusion relationship that is an The determination result acquisition unit determines that the determination result information has neither the first inclusion relationship nor the second inclusion relationship with respect to the access request. 2. The access management system according to item 1, wherein the access permission condition determination request is transmitted to the policy determination device, and the determination result of the access permission condition for the access request is received from the policy determination device.

（項目３）前記アクセス執行装置は、前記アクセス要求についての前記アクセス許可条件の判定結果を前記判定結果取得部が受信した場合に、当該アクセス要求についての前記複数の部分条件のそれぞれの判定結果と、当該アクセス要求についての前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させる判定結果更新部を更に有する項目１記載のアクセス管理システム。 (Item 3) When the determination result acquisition unit receives the determination result of the access permission condition for the access request, the access execution device includes the determination result of each of the plurality of partial conditions for the access request. The access management system according to item 1, further comprising a determination result update unit that associates the determination result of the access permission condition for the access request with the determination result information and stores the determination result information in the determination result storage unit.

（項目４）前記アクセス執行装置は、第１の前記判定結果情報が第２の前記判定結果情報に対して前記第１包含関係を有する場合に、前記第２の判定結果情報を前記判定結果格納部から削除する判定結果情報削減部を更に有する項目１記載のアクセス管理システム。 (Item 4) The access execution device stores the second determination result information when the first determination result information has the first inclusion relation with respect to the second determination result information. The access management system according to item 1, further comprising a determination result information reduction unit to be deleted from the unit.

（項目５）前記判定結果情報削減部は、前記判定結果更新部により前記判定結果格納部に新たに格納された前記第１の判定結果情報が、当該第１の判定結果情報の格納前に前記判定結果格納部に既に格納されていたいずれかの前記判定結果情報である前記第２の判定結果情報に対して前記第１包含関係を有する場合に、前記第２の判定結果情報を前記判定結果格納部から削除する項目４記載のアクセス管理システム。 (Item 5) The determination result information reduction unit may store the first determination result information newly stored in the determination result storage unit by the determination result update unit before storing the first determination result information. When the second determination result information has the first inclusion relation with respect to the second determination result information that is any of the determination result information already stored in the determination result storage unit, the second determination result information is converted into the determination result. The access management system according to item 4, which is deleted from the storage unit.

（項目６）前記判定結果情報削減部は、前記判定結果更新部により前記判定結果格納部に新たに格納された前記第２の判定結果情報と、当該第２の判定結果情報の格納前に前記判定結果格納部に既に格納されていたいずれかの前記判定結果情報である前記第１の判定結果情報とが、前記第２の判定結果情報が前記第１の判定結果情報に対して前記第１包含関係を有する場合に、前記第１の判定結果情報を前記判定結果格納部から削除する項目４記載のアクセス管理システム。 (Item 6) The determination result information reduction unit is configured to store the second determination result information newly stored in the determination result storage unit by the determination result update unit and the second determination result information before storing the second determination result information. The first determination result information that is any of the determination result information that has already been stored in the determination result storage unit is the first determination result information that the second determination result information has compared to the first determination result information. The access management system according to item 4, wherein the first determination result information is deleted from the determination result storage unit when having an inclusion relationship.

（項目７）前記データベースは、複数の個人のそれぞれに対応する個人情報を格納し、同一のアクセス要求元から第１の前記個人情報に対する第１の前記アクセス要求及び第２の前記個人情報に対する第２の前記アクセス要求を受信した場合に、前記部分条件判定部は、前記複数の部分条件のそれぞれについて前記第１のアクセス要求が当該部分条件を満たすか否かを前記第１の個人情報に基づいて判定した判定結果と、前記複数の部分条件のそれぞれについて前記第２のアクセス要求が当該部分条件を満たすか否かを前記第２の個人情報に基づいて判定した判定結果とを出力し、前記判定結果取得部は、前記第１のアクセス要求についての前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記第１のアクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信し、前記判定結果更新部は、前記第１のアクセス要求についての前記複数の部分条件のそれぞれの判定結果と、前記第１のアクセス要求についての前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させ、前記包含関係判定部は、前記第２のアクセス要求における少なくとも１つの前記部分条件についての判定結果が前記第１のアクセス要求に対応する前記判定結果情報における当該部分条件についての判定結果と異なり、当該判定結果情報が前記第１のアクセス要求に対して前記第１包含関係を有する場合に、前記第２のアクセス要求が前記アクセス許可条件を満たすと判定する項目３記載のアクセス管理システム。 (Item 7) The database stores personal information corresponding to each of a plurality of individuals, and the first access request for the first personal information and the second information for the second personal information from the same access request source. When the second access request is received, the partial condition determination unit determines whether the first access request satisfies the partial condition for each of the plurality of partial conditions based on the first personal information. And the determination result determined based on the second personal information as to whether or not the second access request satisfies the partial condition for each of the plurality of partial conditions, The determination result acquisition unit transmits the access permission condition determination request for the first access request to the policy determination device, and the first access request The determination result of the access permission condition is received from the policy determination device, and the determination result update unit is configured to determine the determination result of each of the plurality of partial conditions for the first access request and the first access request. The determination result of the access permission condition is stored in the determination result storage unit as the determination result information, and the inclusion relationship determination unit determines the at least one partial condition in the second access request. When the determination result information is different from the determination result for the partial condition in the determination result information corresponding to the first access request, and the determination result information has the first inclusion relationship with respect to the first access request, The access management system according to item 3, wherein the second access request determines that the access permission condition is satisfied.

（項目８）前記判定結果取得部は、第１の前記アクセス許可条件判定要求に対して前記ポリシー判定装置から前記アクセス許可条件を満たすことを示す判定結果を受信した場合に、前記第１のアクセス許可条件判定要求に含まれる前記複数の部分条件のそれぞれの判定結果のうち、当該部分条件が満たされることを示す少なくとも１つの判定結果を当該部分条件が満たされないことを示す判定結果に置換した第２の前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス執行装置は、前記第２のアクセス許可条件判定要求に対して前記アクセス許可条件を満たさないことを示す判定結果を受信した場合に、前記第１のアクセス許可条件判定要求についての前記複数の部分条件のそれぞれの判定結果と、前記第１のアクセス許可条件判定要求に対する前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させ、前記第２のアクセス許可条件判定要求に対して前記アクセス許可条件を満たすことを示す判定結果を受信した場合に、前記第２のアクセス許可条件判定要求についての前記複数の部分条件のそれぞれの判定結果と、前記第２のアクセス許可条件判定要求に対する前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させる判定結果更新部を更に備える項目１記載のアクセス管理システム。 (Item 8) When the determination result acquisition unit receives a determination result indicating that the access permission condition is satisfied from the policy determination apparatus in response to the first access permission condition determination request, the first access Of the determination results of the plurality of partial conditions included in the permission condition determination request, at least one determination result indicating that the partial condition is satisfied is replaced with a determination result indicating that the partial condition is not satisfied. The access permission condition determination request of 2 is transmitted to the policy determination device, and the access execution device receives a determination result indicating that the access permission condition is not satisfied with respect to the second access permission condition determination request The determination result of each of the plurality of partial conditions for the first access permission condition determination request, and the first action. A determination result of the access permission condition with respect to the access permission condition determination request is stored in the determination result storage unit as the determination result information, and the access permission condition is satisfied with respect to the second access permission condition determination request. When the determination result indicating that the second access permission condition determination request is received, the determination result of each of the plurality of partial conditions for the second access permission condition determination request and the determination of the access permission condition for the second access permission condition determination request The access management system according to item 1, further comprising a determination result update unit that associates a result with the determination result and stores the determination result information in the determination result storage unit.

（項目９）データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムであって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、当該アクセス管理システムは、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置と、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置とを備え、前記アクセス執行装置は、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たさない関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと判定する包含関係判定部と、前記判定結果情報が前記アクセス要求に対して前記第２包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部とを有するアクセス管理システム。 (Item 9) An access management system that accesses a database based on the access request when an access request to the database satisfies a predetermined access permission condition, wherein the access permission condition is the access permission condition The access permission condition is not satisfied when all the partial conditions included in the predetermined second set of partial conditions are not satisfied among the plurality of partial conditions that are elements of The management system receives the access request, and when the access request satisfies the access permission condition, an access execution device that permits access to the database, and each determination of the plurality of partial conditions for the access request An access permission condition determination request including a result is sent from the access execution device And a policy determination device that returns a determination result that determines whether or not the access permission condition is satisfied for the access request, and the access execution device includes a determination result of each of the plurality of partial conditions, Whether the access request satisfies the partial condition for each of the determination result storage unit that associates the determination result of the access permission condition for a plurality of the determination results with each other and stores the determination result information as determination result information A partial condition determination unit that outputs a determination result for determining whether or not a determination result for at least one partial condition in the access request is different from a determination result for the partial condition in the determination result information. All information that is not satisfied in the determination result information for the access request Of the access request when the access request has a second inclusion relationship in which the access permission condition is not satisfied in the determination result information. An inclusion relationship determination unit that determines that the permission condition is not satisfied, and the access permission condition determination request when the determination result information is determined not to have the second inclusion relationship with respect to the access request. A determination result acquisition unit that transmits the determination result of the access permission condition for the access request from the policy determination device, and the database when the access request is determined to satisfy the access permission condition. And an access management system that permits access to

（項目１０）データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置であって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を当該アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、当該アクセス執行装置は、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと判定する包含関係判定部と、前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部とを有するアクセス執行装置。 (Item 10) When an access request to a database satisfies a predetermined access permission condition, the access management system that accesses the database based on the access request receives the access request, and the access request An access execution device that permits access to the database when an access permission condition is satisfied, wherein the access permission condition is a predetermined partial condition among a plurality of partial conditions that are elements of the access permission condition The access permission condition is satisfied when all of the partial conditions included in the first set of are satisfied, and the access management system determines each of the plurality of partial conditions for the access request. An access permission condition determination request including a result of the access execution device And a policy determination device that returns a determination result that determines whether or not the access permission condition is satisfied for the access request, and the access execution device includes a determination result of each of the plurality of partial conditions, Whether the access request satisfies the partial condition for each of the determination result storage unit that associates the determination result of the access permission condition for a plurality of the determination results with each other and stores the determination result information as determination result information A partial condition determination unit that outputs a determination result for determining whether or not a determination result for at least one partial condition in the access request is different from a determination result for the partial condition in the determination result information. All information is satisfied in the determination result information for the access request. Of the access request when the access request has the first inclusion relationship that is the relationship that the access permission condition is satisfied in the determination result information. An inclusion relationship determination unit that determines that a permission condition is satisfied; and when the determination result information is determined not to have the first inclusion relationship with respect to the access request, the access permission condition determination request is transmitted to the policy determination device. A determination result acquisition unit that receives the determination result of the access permission condition for the access request from the policy determination device; and when it is determined that the access request satisfies the access permission condition, An access execution device having an access processing unit that permits access.

（項目１１）データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、コンピュータを、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置として機能させるアクセス執行プログラムであって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を当該アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、当該アクセス執行プログラムは、前記コンピュータを、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと判定する包含関係判定部と、前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部として機能させるアクセス執行プログラム。 (Item 11) When an access request to a database satisfies a predetermined access permission condition, in an access management system that accesses the database based on the access request, the computer receives the access request, and An access execution program that functions as an access execution device that permits access to the database when a request satisfies the access permission condition, wherein the access permission condition includes a plurality of partial conditions that are elements of the access permission condition. Among them, when all the partial conditions included in the predetermined first set of partial conditions are satisfied, the access permission condition is satisfied, and the access management system Each determination result of the plurality of partial conditions Including an access permission condition determination request including the policy determination device that returns a determination result that determines whether or not the access permission condition is satisfied for the access request. A determination result storage for storing the computer as determination result information in association with the determination results of the plurality of partial conditions and the determination results of the access permission conditions for the plurality of determination results; and the plurality of portions For each of the conditions, a partial condition determination unit that outputs a determination result that determines whether or not the access request satisfies the partial condition, and a determination result for at least one partial condition in the access request includes the determination result information In the case where the determination result for the partial condition is different from The relation result information satisfies the access request, and all the partial conditions that are satisfied in the determination result information are also satisfied in the access request, and the access permission condition is satisfied in the determination result information. An inclusion relationship determination unit that determines that the access request satisfies the access permission condition, and the determination result information includes the first inclusion relationship with respect to the access request. A determination result acquisition unit that transmits the access permission condition determination request to the policy determination device and receives the determination result of the access permission condition for the access request from the policy determination device. When the access request is determined to satisfy the access permission condition, the database is accessed. An access execution program that functions as an access processing unit that permits access.

（項目１２）データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置をコンピュータにより制御するアクセス執行方法であって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として前記コンピュータに格納させる判定結果格納段階と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を前記コンピュータにより出力させる部分条件判定段階と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと前記コンピュータにより判定させる包含関係判定段階と、前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ前記コンピュータにより送信させ、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から前記コンピュータにより受信させる判定結果取得段階と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを前記コンピュータにより許可させるアクセス処理段階とを有するアクセス執行方法。 (Item 12) When an access request to a database satisfies a predetermined access permission condition, the access management system that accesses the database based on the access request receives the access request, and the access request An access execution method for controlling, by a computer, an access execution device that permits access to the database when an access permission condition is satisfied, wherein the access permission condition is a plurality of partial conditions that are elements of the access permission condition The access permission condition is satisfied when all the partial conditions included in the predetermined first set of partial conditions are satisfied, and the access management system An application that contains the judgment results for each of multiple partial conditions An access permission condition determination request from the access execution device, and a policy determination device that returns a determination result that determines whether or not the access permission condition is satisfied for the access request. For each of the plurality of partial conditions, a determination result storage step for causing the computer to store a determination result and a determination result of the access permission condition for a plurality of the determination results in association with each other and storing the determination result information in the computer. A partial condition determination step for causing the computer to output a determination result that determines whether or not the partial condition is satisfied, and a determination result for at least one partial condition in the access request is for the partial condition in the determination result information If the result is different from the judgment result, the judgment result information In relation to the access request, all the partial conditions that are satisfied in the determination result information are also satisfied in the access request, and the access permission condition is satisfied in the determination result information And having a first inclusion relationship, the computer determines that the access request satisfies the access permission condition, and the determination result information indicates the first inclusion relationship with respect to the access request. When it is determined that the access permission condition is not included, the computer transmits the access permission condition determination request to the policy determination apparatus, and causes the computer to receive a determination result of the access permission condition for the access request from the policy determination apparatus. The determination result acquisition stage and the access request And an access processing step of allowing the computer to permit access to the database when it is determined that the access permission condition is satisfied.

（項目１３）データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、コンピュータを、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置として機能させるアクセス執行プログラムであって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を当該アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、当該アクセス執行プログラムは、前記コンピュータを、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たされない関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと判定する包含関係判定部と、前記判定結果情報が前記アクセス要求に対して前記第２包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部として機能させるアクセス執行プログラム。 (Item 13) When an access request to a database satisfies a predetermined access permission condition, in an access management system that accesses the database based on the access request, the computer receives the access request, and An access execution program that functions as an access execution device that permits access to the database when a request satisfies the access permission condition, wherein the access permission condition includes a plurality of partial conditions that are elements of the access permission condition. Among them, when all the partial conditions included in the predetermined second set of partial conditions are not satisfied, the access permission conditions are not satisfied, and the access management system The size of each of the plurality of partial conditions The access execution program includes a policy determination device that receives an access permission condition determination request including a result from the access execution device, and returns a determination result that determines whether the access permission condition is satisfied for the access request. A determination result storage unit that stores the determination results of the plurality of partial conditions in association with the determination results of the access permission conditions for the plurality of determination results as determination result information; and For each partial condition, a partial condition determination unit that outputs a determination result for determining whether the access request satisfies the partial condition, and a determination result for at least one partial condition in the access request is the determination result. In the case where it differs from the judgment result for the partial condition in the information, The determination result information has a relationship that all the partial conditions not satisfied in the determination result information are not satisfied in the access request with respect to the access request, and the access permission condition in the determination result information An inclusion relationship determination unit that determines that the access request does not satisfy the access permission condition when having a second inclusion relationship that is an unsatisfied relationship; and the determination result information includes the second inclusion relationship with respect to the access request. A determination result acquisition for transmitting the access permission condition determination request to the policy determination device and receiving the determination result of the access permission condition for the access request from the policy determination device when it is determined that the access permission condition is not included And the access request is determined to satisfy the access permission condition. An access execution program that functions as an access processing unit that allows database access.

（項目１４）データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置をコンピュータにより制御するアクセス執行方法であって、前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として前記コンピュータに格納させる判定結果格納段階と、前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を前記コンピュータにより出力させる部分条件判定段階と、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たさない関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと前記コンピュータにより判定させる包含関係判定段階と、前記判定結果情報が前記アクセス要求に対して前記第２包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ前記コンピュータにより送信させ、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から前記コンピュータにより受信させる判定結果取得段階と、前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを前記コンピュータにより許可させるアクセス処理段階とを有するアクセス執行方法。 (Item 14) When an access request to a database satisfies a predetermined access permission condition, the access management system that accesses the database based on the access request receives the access request, and the access request An access execution method for controlling, by a computer, an access execution device that permits access to the database when an access permission condition is satisfied, wherein the access permission condition is a plurality of partial conditions that are elements of the access permission condition The access permission condition is not satisfied when all the partial conditions included in the predetermined second set of partial conditions are not satisfied, and the access management system Includes judgment results for multiple partial conditions A policy determination device that receives an access permission condition determination request from the access execution device and returns a determination result that determines whether or not the access permission condition is satisfied for the access request; and each of the plurality of partial conditions For each of the plurality of partial conditions, a determination result storage step for causing the computer to store a determination result and a determination result of the access permission condition for a plurality of the determination results in association with each other and storing the result as determination result information. A partial condition determination step for causing the computer to output a determination result that determines whether or not the partial condition is satisfied, and a determination result for at least one partial condition in the access request is for the partial condition in the determination result information If the judgment result is different, the judgment result The information is a relationship in which all the partial conditions not satisfied in the determination result information are not satisfied in the access request for the access request, and the access permission condition is satisfied in the determination result information An inclusion relationship determination step for causing the computer to determine that the access request does not satisfy the access permission condition when the access request has a second inclusion relationship that is not present, and the determination result information is the second inclusion relationship with respect to the access request. When it is determined that there is no inclusion relationship, the computer determines that the access permission condition determination request is transmitted to the policy determination device by the computer, and the determination result of the access permission condition for the access request is sent from the policy determination device to the computer. A determination result acquisition stage to be received by the access and the access An access execution method comprising: an access processing step for allowing access to the database by the computer when it is determined that the request satisfies the access permission condition.

（項目１５）項目１１又は項目１３に記載のアクセス執行プログラムを記録した記録媒体。 (Item 15) A recording medium on which the access execution program according to Item 11 or Item 13 is recorded.

本発明の実施形態に係るアクセス管理システム１０の構成を示す。1 shows a configuration of an access management system 10 according to an embodiment of the present invention. 本発明の実施形態に係るデータベース１００の一例を表形式により示す。An example of the database 100 which concerns on embodiment of this invention is shown with a table format. 本発明の実施形態に係るアクセス許可条件の一例を示す。An example of the access permission conditions which concern on embodiment of this invention is shown. 本発明の実施形態に係る判定結果格納部１３５の一例を表形式により示す。An example of the determination result storage unit 135 according to the embodiment of the present invention is shown in a table format. 本発明の実施形態に係るアクセス管理システム１０の動作フローを示す。The operation | movement flow of the access management system 10 which concerns on embodiment of this invention is shown. 本発明の実施形態に係るコンピュータ１０００のハードウェア構成の一例を示す。2 shows an example of a hardware configuration of a computer 1000 according to an embodiment of the present invention.

符号の説明Explanation of symbols

１０ アクセス管理システム
１００ データベース
１１０ アクセス要求元装置
１２０ アクセス執行装置
１３０ 部分条件判定部
１３５ 判定結果格納部
１４０ 包含関係判定部
１４５ 判定結果取得部
１５０ アクセス処理部
１５５ 判定結果更新部
１６０ 判定結果情報削減部
１７０ ポリシー判定装置
１７５ 部分条件送信部
１８０ ポリシー判定部
１９０ 認証装置
９００ ＣＰＵ
９１０ ＲＯＭ
９２０ ＲＡＭ
９３０ 通信インターフェイス
９４０ ハードディスクドライブ
９５０ フレキシブルディスク・ドライブ
９６０ ＣＤ−ＲＯＭドライブ
９７０ 入出力チップ
９７５ グラフィック・コントローラ
９８０ 表示装置
９８２ ホスト・コントローラ
９８４ 入出力コントローラ
９９０ フレキシブルディスク
９９５ ＣＤ−ＲＯＭ
１０００ コンピュータ DESCRIPTION OF SYMBOLS 10 Access management system 100 Database 110 Access request origination apparatus 120 Access execution apparatus 130 Partial condition determination part 135 Determination result storage part 140 Inclusion relation determination part 145 Determination result acquisition part 150 Access processing part 155 Determination result update part 160 Determination result information reduction part 170 Policy determination device 175 Partial condition transmission unit 180 Policy determination unit 190 Authentication device 900 CPU
910 ROM
920 RAM
930 Communication interface 940 Hard disk drive 950 Flexible disk drive 960 CD-ROM drive 970 Input / output chip 975 Graphic controller 980 Display device 982 Host controller 984 Input / output controller 990 Flexible disk 995 CD-ROM
1000 computers

Claims (15)

データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムであって、
前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、
当該アクセス管理システムは、
前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置と、
前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置と
を備え、
前記アクセス執行装置は、
前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、
前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、
前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと判定する包含関係判定部と、
前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、
前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部と
を有する
アクセス管理システム。 An access management system that accesses the database based on the access request when the access request to the database satisfies a predetermined access permission condition,
The access permission condition is determined when all of the partial conditions included in the predetermined first set of partial conditions among a plurality of partial conditions that are elements of the access permission condition are satisfied. The condition is met,
The access management system
An access enforcement device that receives the access request and permits access to the database when the access request satisfies the access permission condition;
A determination result obtained by receiving an access permission condition determination request including a determination result of each of the plurality of partial conditions for the access request from the access execution device, and determining whether the access permission condition is satisfied for the access request And a policy determination device that returns
The access enforcement device is:
A determination result storage unit that stores each determination result of the plurality of partial conditions and a determination result of the access permission condition for a plurality of the determination results in association with each other, and stores the determination result information;
For each of the plurality of partial conditions, a partial condition determination unit that outputs a determination result that determines whether or not the access request satisfies the partial condition;
When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information satisfies the determination result information for the access request. The access is performed when all the partial conditions that have been set have a first inclusion relationship that is a relationship that is satisfied even in the access request, and that the access permission condition is satisfied in the determination result information. An inclusion relationship determination unit that determines that the request satisfies the access permission condition;
When it is determined that the determination result information does not have the first inclusion relationship with respect to the access request, the access permission condition determination request is transmitted to the policy determination apparatus, and the access permission condition for the access request A determination result acquisition unit that receives the determination result from the policy determination device;
An access management system comprising: an access processing unit that permits access to the database when it is determined that the access request satisfies the access permission condition. 更に前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、
前記包含関係判定部は、前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たさず、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと更に判定し、
前記判定結果取得部は、前記判定結果情報が前記アクセス要求に対して前記第１包含関係及び前記第２包含関係のいずれも有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する
請求項１記載のアクセス管理システム。 Further, the access permission condition is determined when the partial condition included in the second set of partial conditions defined in advance is not satisfied among the plurality of partial conditions that are elements of the access permission condition. It is a condition that does not satisfy the permission condition,
The inclusion relation determination unit determines whether the determination result information corresponds to the access request when a determination result for at least one partial condition in the access request is different from a determination result for the partial condition in the determination result information. When all of the partial conditions not satisfied in the determination result information are not satisfied even in the access request and the access permission condition is not satisfied in the determination result information And further determining that the access request does not satisfy the access permission condition,
When the determination result information is determined that the determination result information has neither the first inclusion relationship nor the second inclusion relationship with respect to the access request, the determination result acquisition unit sends the access permission condition determination request to the policy. The access management system according to claim 1, wherein the access management system transmits to a determination device and receives a determination result of the access permission condition for the access request from the policy determination device. 前記アクセス執行装置は、前記アクセス要求についての前記アクセス許可条件の判定結果を前記判定結果取得部が受信した場合に、当該アクセス要求についての前記複数の部分条件のそれぞれの判定結果と、当該アクセス要求についての前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させる判定結果更新部を更に有する請求項１記載のアクセス管理システム。   The access execution device, when the determination result acquisition unit receives the determination result of the access permission condition for the access request, each determination result of the plurality of partial conditions for the access request, and the access request The access management system according to claim 1, further comprising a determination result update unit that associates the determination result of the access permission condition with respect to and stores the determination result information in the determination result storage unit. 前記アクセス執行装置は、第１の前記判定結果情報が第２の前記判定結果情報に対して前記第１包含関係を有する場合に、前記第２の判定結果情報を前記判定結果格納部から削除する判定結果情報削減部を更に有する請求項１記載のアクセス管理システム。   The access execution device deletes the second determination result information from the determination result storage unit when the first determination result information has the first inclusion relation with respect to the second determination result information. The access management system according to claim 1, further comprising a determination result information reduction unit. 前記判定結果情報削減部は、前記判定結果更新部により前記判定結果格納部に新たに格納された前記第１の判定結果情報が、当該第１の判定結果情報の格納前に前記判定結果格納部に既に格納されていたいずれかの前記判定結果情報である前記第２の判定結果情報に対して前記第１包含関係を有する場合に、前記第２の判定結果情報を前記判定結果格納部から削除する請求項４記載のアクセス管理システム。   The determination result information reduction unit is configured such that the first determination result information newly stored in the determination result storage unit by the determination result update unit is stored in the determination result storage unit before the first determination result information is stored. The second determination result information is deleted from the determination result storage unit when it has the first inclusion relationship with respect to the second determination result information that is any of the determination result information already stored in The access management system according to claim 4. 前記判定結果情報削減部は、前記判定結果更新部により前記判定結果格納部に新たに格納された前記第２の判定結果情報と、当該第２の判定結果情報の格納前に前記判定結果格納部に既に格納されていたいずれかの前記判定結果情報である前記第１の判定結果情報とが、前記第２の判定結果情報が前記第１の判定結果情報に対して前記第１包含関係を有する場合に、前記第１の判定結果情報を前記判定結果格納部から削除する請求項４記載のアクセス管理システム。   The determination result information reduction unit includes the second determination result information newly stored in the determination result storage unit by the determination result update unit, and the determination result storage unit before storing the second determination result information. The first determination result information that is any of the determination result information already stored in the second determination result information has the first inclusion relationship with respect to the first determination result information. In this case, the access management system according to claim 4, wherein the first determination result information is deleted from the determination result storage unit. 前記データベースは、複数の個人のそれぞれに対応する個人情報を格納し、
同一のアクセス要求元から第１の前記個人情報に対する第１の前記アクセス要求及び第２の前記個人情報に対する第２の前記アクセス要求を受信した場合に、前記部分条件判定部は、前記複数の部分条件のそれぞれについて前記第１のアクセス要求が当該部分条件を満たすか否かを前記第１の個人情報に基づいて判定した判定結果と、前記複数の部分条件のそれぞれについて前記第２のアクセス要求が当該部分条件を満たすか否かを前記第２の個人情報に基づいて判定した判定結果とを出力し、
前記判定結果取得部は、前記第１のアクセス要求についての前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記第１のアクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信し、
前記判定結果更新部は、前記第１のアクセス要求についての前記複数の部分条件のそれぞれの判定結果と、前記第１のアクセス要求についての前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させ、
前記包含関係判定部は、前記第２のアクセス要求における少なくとも１つの前記部分条件についての判定結果が前記第１のアクセス要求に対応する前記判定結果情報における当該部分条件についての判定結果と異なり、当該判定結果情報が前記第１のアクセス要求に対して前記第１包含関係を有する場合に、前記第２のアクセス要求が前記アクセス許可条件を満たすと判定する
請求項３記載のアクセス管理システム。 The database stores personal information corresponding to each of a plurality of individuals,
When the first access request for the first personal information and the second access request for the second personal information are received from the same access request source, the partial condition determining unit For each of the conditions, the determination result based on the first personal information whether or not the first access request satisfies the partial condition, and the second access request for each of the plurality of partial conditions Outputting a determination result determined based on the second personal information as to whether or not the partial condition is satisfied,
The determination result acquisition unit transmits the access permission condition determination request for the first access request to the policy determination apparatus, and the determination result of the access permission condition for the first access request is the policy determination apparatus. Received from
The determination result update unit associates each determination result of the plurality of partial conditions for the first access request with a determination result of the access permission condition for the first access request, and determines the determination result Information stored in the determination result storage unit,
The inclusion relation determination unit is different from a determination result for the partial condition in the determination result information corresponding to the first access request, in which the determination result for the at least one partial condition in the second access request is The access management system according to claim 3, wherein when the determination result information has the first inclusion relationship with respect to the first access request, the second access request determines that the access permission condition is satisfied. 前記判定結果取得部は、第１の前記アクセス許可条件判定要求に対して前記ポリシー判定装置から前記アクセス許可条件を満たすことを示す判定結果を受信した場合に、前記第１のアクセス許可条件判定要求に含まれる前記複数の部分条件のそれぞれの判定結果のうち、当該部分条件が満たされることを示す少なくとも１つの判定結果を当該部分条件が満たされないことを示す判定結果に置換した第２の前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、
前記アクセス執行装置は、前記第２のアクセス許可条件判定要求に対して前記アクセス許可条件を満たさないことを示す判定結果を受信した場合に、前記第１のアクセス許可条件判定要求についての前記複数の部分条件のそれぞれの判定結果と、前記第１のアクセス許可条件判定要求に対する前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させ、前記第２のアクセス許可条件判定要求に対して前記アクセス許可条件を満たすことを示す判定結果を受信した場合に、前記第２のアクセス許可条件判定要求についての前記複数の部分条件のそれぞれの判定結果と、前記第２のアクセス許可条件判定要求に対する前記アクセス許可条件の判定結果とを対応付けて前記判定結果情報として前記判定結果格納部に格納させる判定結果更新部を更に備える請求項１記載のアクセス管理システム。 When the determination result acquisition unit receives a determination result indicating that the access permission condition is satisfied from the policy determination device in response to the first access permission condition determination request, the first access permission condition determination request The second access in which at least one determination result indicating that the partial condition is satisfied is replaced with a determination result indicating that the partial condition is not satisfied among the determination results of the plurality of partial conditions included in Send permission condition determination request to the policy determination device,
When the access execution device receives a determination result indicating that the access permission condition is not satisfied with respect to the second access permission condition determination request, the plurality of the plurality of access permission condition determination requests Each determination result of the partial condition and the determination result of the access permission condition with respect to the first access permission condition determination request are associated with each other and stored in the determination result storage unit as the determination result information, and the second access When a determination result indicating that the access permission condition is satisfied is received in response to the permission condition determination request, the determination result of each of the plurality of partial conditions for the second access permission condition determination request, and the second The determination result as the determination result information in association with the determination result of the access permission condition for the access permission condition determination request Further access management system according to claim 1, further comprising a determination result update unit for storing the fruit storage unit. データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムであって、
前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、
当該アクセス管理システムは、
前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置と、
前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置と
を備え、
前記アクセス執行装置は、
前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、
前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、
前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たさない関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと判定する包含関係判定部と、
前記判定結果情報が前記アクセス要求に対して前記第２包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、
前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部と
を有する
アクセス管理システム。 An access management system that accesses the database based on the access request when the access request to the database satisfies a predetermined access permission condition,
The access permission condition is determined when the partial condition included in the predetermined second set of partial conditions among a plurality of partial conditions that are elements of the access permission condition is not satisfied. The condition is not met,
The access management system
An access enforcement device that receives the access request and permits access to the database when the access request satisfies the access permission condition;
A determination result obtained by receiving an access permission condition determination request including a determination result of each of the plurality of partial conditions for the access request from the access execution device, and determining whether the access permission condition is satisfied for the access request And a policy determination device that returns
The access enforcement device is:
A determination result storage unit that stores each determination result of the plurality of partial conditions and a determination result of the access permission condition for a plurality of the determination results in association with each other, and stores the determination result information;
For each of the plurality of partial conditions, a partial condition determination unit that outputs a determination result that determines whether or not the access request satisfies the partial condition;
When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information satisfies the determination result information for the access request. The access is performed when all the partial conditions that are not set have a second inclusion relationship that is a relationship that does not satisfy the access request and that does not satisfy the access permission condition in the determination result information. An inclusion relationship determination unit that determines that the request does not satisfy the access permission condition;
When it is determined that the determination result information does not have the second inclusion relationship with respect to the access request, the access permission condition determination request is transmitted to the policy determination device, and the access permission condition for the access request A determination result acquisition unit that receives the determination result from the policy determination device;
An access management system comprising: an access processing unit that permits access to the database when it is determined that the access request satisfies the access permission condition. データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置であって、
前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、
当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を当該アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、
当該アクセス執行装置は、
前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、
前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、
前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと判定する包含関係判定部と、
前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、
前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部と
を有する
アクセス執行装置。 When an access request to a database satisfies a predetermined access permission condition, the access management system that accesses the database based on the access request receives the access request, and the access request satisfies the access permission condition. An access enforcement device that permits access to the database if it satisfies:
The access permission condition is determined when all of the partial conditions included in the predetermined first set of partial conditions among a plurality of partial conditions that are elements of the access permission condition are satisfied. The condition is met,
The access management system receives an access permission condition determination request including a determination result of each of the plurality of partial conditions for the access request from the access execution device, and whether or not the access permission condition is satisfied for the access request A policy determination device that returns a determination result of determining whether or not
The access enforcement device
A determination result storage unit that stores each determination result of the plurality of partial conditions and a determination result of the access permission condition for a plurality of the determination results in association with each other, and stores the determination result information;
For each of the plurality of partial conditions, a partial condition determination unit that outputs a determination result that determines whether or not the access request satisfies the partial condition;
When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information satisfies the determination result information for the access request. The access is performed when all the partial conditions that have been set have a first inclusion relationship that is a relationship that is satisfied even in the access request, and that the access permission condition is satisfied in the determination result information. An inclusion relationship determination unit that determines that the request satisfies the access permission condition;
When it is determined that the determination result information does not have the first inclusion relationship with respect to the access request, the access permission condition determination request is transmitted to the policy determination apparatus, and the access permission condition for the access request A determination result acquisition unit that receives the determination result from the policy determination device;
And an access processing unit that permits access to the database when it is determined that the access request satisfies the access permission condition. データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、コンピュータを、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置として機能させるアクセス執行プログラムであって、
前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、
当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を当該アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、
当該アクセス執行プログラムは、前記コンピュータを、
前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、
前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、
前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと判定する包含関係判定部と、
前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、
前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部と
して機能させるアクセス執行プログラム。 When an access request to a database satisfies a predetermined access permission condition, in an access management system that accesses the database based on the access request, the computer receives the access request, and the access request An access execution program that functions as an access execution device that permits access to the database when a permission condition is satisfied,
The access permission condition is determined when all of the partial conditions included in the predetermined first set of partial conditions among a plurality of partial conditions that are elements of the access permission condition are satisfied. The condition is met,
The access management system receives an access permission condition determination request including a determination result of each of the plurality of partial conditions for the access request from the access execution device, and whether or not the access permission condition is satisfied for the access request A policy determination device that returns a determination result of determining whether or not
The access enforcement program is configured to execute the computer,
A determination result storage unit that stores each determination result of the plurality of partial conditions and a determination result of the access permission condition for a plurality of the determination results in association with each other, and stores the determination result information;
For each of the plurality of partial conditions, a partial condition determination unit that outputs a determination result that determines whether or not the access request satisfies the partial condition;
When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information satisfies the determination result information for the access request. The access is performed when all the partial conditions that have been set have a first inclusion relationship that is a relationship that is satisfied even in the access request, and that the access permission condition is satisfied in the determination result information. An inclusion relationship determination unit that determines that the request satisfies the access permission condition;
When it is determined that the determination result information does not have the first inclusion relationship with respect to the access request, the access permission condition determination request is transmitted to the policy determination apparatus, and the access permission condition for the access request A determination result acquisition unit that receives the determination result from the policy determination device;
An access execution program that functions as an access processing unit that permits access to the database when it is determined that the access request satisfies the access permission condition. データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置をコンピュータにより制御するアクセス執行方法であって、
前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第１の組に含まれる全ての前記部分条件が満たされる場合に、当該アクセス許可条件が満たされる条件であり、
当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、
前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として前記コンピュータに格納させる判定結果格納段階と、
前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を前記コンピュータにより出力させる部分条件判定段階と、
前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされている全ての前記部分条件が前記アクセス要求においても満たされる関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされている関係である第１包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たすと前記コンピュータにより判定させる包含関係判定段階と、
前記判定結果情報が前記アクセス要求に対して前記第１包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ前記コンピュータにより送信させ、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から前記コンピュータにより受信させる判定結果取得段階と、
前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを前記コンピュータにより許可させるアクセス処理段階と
を有する
アクセス執行方法。 When an access request to a database satisfies a predetermined access permission condition, the access management system that accesses the database based on the access request receives the access request, and the access request satisfies the access permission condition. An access execution method for controlling an access execution device that permits access to the database when satisfied by a computer,
The access permission condition is determined when all of the partial conditions included in the predetermined first set of partial conditions among a plurality of partial conditions that are elements of the access permission condition are satisfied. The condition is met,
The access management system receives an access permission condition determination request including a determination result of each of the plurality of partial conditions for the access request from the access execution device, and whether or not the access permission condition is satisfied for the access request A policy determination device that returns a determination result of determining whether or not
A determination result storing step of associating each determination result of the plurality of partial conditions with a determination result of the access permission condition for a plurality of the determination results and storing the determination result information in the computer;
For each of the plurality of partial conditions, a partial condition determination step for causing the computer to output a determination result that determines whether or not the access request satisfies the partial condition;
When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information satisfies the determination result information for the access request. The access is performed when all the partial conditions that have been set have a first inclusion relationship that is a relationship that is satisfied even in the access request, and that the access permission condition is satisfied in the determination result information. An inclusion relationship determination step for causing the computer to determine that a request satisfies the access permission condition;
When it is determined that the determination result information does not have the first inclusion relationship with respect to the access request, the access permission condition determination request is transmitted to the policy determination apparatus by the computer, and the access request A determination result acquisition step of receiving the determination result of the access permission condition by the computer from the policy determination device;
And an access processing step of allowing the computer to permit access to the database when it is determined that the access request satisfies the access permission condition. データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、コンピュータを、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置として機能させるアクセス執行プログラムであって、
前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、
当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を当該アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、
当該アクセス執行プログラムは、前記コンピュータを、
前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として格納する判定結果格納部と、
前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を出力する部分条件判定部と、
前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たされない関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと判定する包含関係判定部と、
前記判定結果情報が前記アクセス要求に対して前記第２包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ送信し、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から受信する判定結果取得部と、
前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを許可するアクセス処理部と
して機能させるアクセス執行プログラム。 When an access request to a database satisfies a predetermined access permission condition, in an access management system that accesses the database based on the access request, the computer receives the access request, and the access request An access execution program that functions as an access execution device that permits access to the database when a permission condition is satisfied,
The access permission condition is determined when the partial condition included in the predetermined second set of partial conditions among a plurality of partial conditions that are elements of the access permission condition is not satisfied. The condition is not met,
The access management system receives an access permission condition determination request including a determination result of each of the plurality of partial conditions for the access request from the access execution device, and whether or not the access permission condition is satisfied for the access request A policy determination device that returns a determination result of determining whether or not
The access enforcement program is configured to execute the computer,
A determination result storage unit that stores each determination result of the plurality of partial conditions and a determination result of the access permission condition for a plurality of the determination results in association with each other, and stores the determination result information;
For each of the plurality of partial conditions, a partial condition determination unit that outputs a determination result that determines whether or not the access request satisfies the partial condition;
When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information satisfies the determination result information for the access request. The access is performed when all of the partial conditions that have not been performed have a second inclusion relationship that is a relationship that is not satisfied even in the access request, and that the access permission condition is not satisfied in the determination result information. An inclusion relationship determination unit that determines that the request does not satisfy the access permission condition;
When it is determined that the determination result information does not have the second inclusion relationship with respect to the access request, the access permission condition determination request is transmitted to the policy determination device, and the access permission condition for the access request A determination result acquisition unit that receives the determination result from the policy determination device;
An access execution program that functions as an access processing unit that permits access to the database when it is determined that the access request satisfies the access permission condition. データベースへのアクセス要求が予め定められたアクセス許可条件を満たす場合に、当該アクセス要求に基づいて当該データベースをアクセスするアクセス管理システムにおいて、前記アクセス要求を受信し、前記アクセス要求が前記アクセス許可条件を満たす場合に前記データベースへのアクセスを許可するアクセス執行装置をコンピュータにより制御するアクセス執行方法であって、
前記アクセス許可条件は、当該アクセス許可条件の要素となる複数の部分条件のうち、予め定められた前記部分条件の第２の組に含まれる全ての前記部分条件が満たされない場合に、当該アクセス許可条件が満たされない条件であり、
当該アクセス管理システムは、前記アクセス要求についての前記複数の部分条件のそれぞれの判定結果を含むアクセス許可条件判定要求を前記アクセス執行装置から受信し、当該アクセス要求について前記アクセス許可条件が満たされるか否かを判定した判定結果を返信するポリシー判定装置を備え、
前記複数の部分条件のそれぞれの判定結果と、複数の当該判定結果に対する前記アクセス許可条件の判定結果とを対応付けて判定結果情報として前記コンピュータに格納させる判定結果格納段階と、
前記複数の部分条件のそれぞれについて、前記アクセス要求が当該部分条件を満たすか否かを判定した判定結果を前記コンピュータにより出力させる部分条件判定段階と、
前記アクセス要求における少なくとも１つの前記部分条件についての判定結果が前記判定結果情報における当該部分条件についての判定結果と異なる場合において、前記判定結果情報が前記アクセス要求に対して、前記判定結果情報において満たされていない全ての前記部分条件が前記アクセス要求においても満たさない関係であり、かつ、前記判定結果情報において前記アクセス許可条件が満たされていない関係である第２包含関係を有する場合に、前記アクセス要求が前記アクセス許可条件を満たさないと前記コンピュータにより判定させる包含関係判定段階と、
前記判定結果情報が前記アクセス要求に対して前記第２包含関係を有しないと判断された場合に、前記アクセス許可条件判定要求を前記ポリシー判定装置へ前記コンピュータにより送信させ、前記アクセス要求についての前記アクセス許可条件の判定結果を前記ポリシー判定装置から前記コンピュータにより受信させる判定結果取得段階と、
前記アクセス要求が前記アクセス許可条件を満たすと判定された場合に、前記データベースのアクセスを前記コンピュータにより許可させるアクセス処理段階と
を有する
アクセス執行方法。 When an access request to a database satisfies a predetermined access permission condition, the access management system that accesses the database based on the access request receives the access request, and the access request satisfies the access permission condition. An access execution method for controlling an access execution device that permits access to the database when satisfied by a computer,
The access permission condition is determined when the partial condition included in the predetermined second set of partial conditions among a plurality of partial conditions that are elements of the access permission condition is not satisfied. The condition is not met,
The access management system receives an access permission condition determination request including a determination result of each of the plurality of partial conditions for the access request from the access execution device, and whether or not the access permission condition is satisfied for the access request A policy determination device that returns a determination result of determining whether or not
A determination result storing step of associating each determination result of the plurality of partial conditions with a determination result of the access permission condition for a plurality of the determination results and storing the determination result information in the computer;
For each of the plurality of partial conditions, a partial condition determination step for causing the computer to output a determination result that determines whether or not the access request satisfies the partial condition;
When the determination result for at least one partial condition in the access request is different from the determination result for the partial condition in the determination result information, the determination result information satisfies the determination result information for the access request. The access is performed when all the partial conditions that are not set have a second inclusion relationship that is a relationship that does not satisfy the access request and that does not satisfy the access permission condition in the determination result information. An inclusion relationship determination stage for causing the computer to determine that the request does not satisfy the access permission condition;
When it is determined that the determination result information does not have the second inclusion relationship with respect to the access request, the access permission condition determination request is transmitted by the computer to the policy determination device, and the access request A determination result acquisition step of receiving the determination result of the access permission condition by the computer from the policy determination device;
And an access processing step of allowing the computer to permit access to the database when it is determined that the access request satisfies the access permission condition. 請求項１１又は請求項１３に記載のアクセス執行プログラムを記録した記録媒体。   A recording medium on which the access execution program according to claim 11 is recorded.
JP2003368518A 2003-10-29 2003-10-29 Access management system, access execution device, access execution program, access execution method, and recording medium Expired - Fee Related JP4014165B2 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2003368518A JP4014165B2 (en) 2003-10-29 2003-10-29 Access management system, access execution device, access execution program, access execution method, and recording medium
US10/958,322 US7752161B2 (en) 2003-10-29 2004-10-06 Access management system, access administration apparatus, access administration program, access administration method, and recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003368518A JP4014165B2 (en) 2003-10-29 2003-10-29 Access management system, access execution device, access execution program, access execution method, and recording medium

Publications (2)

Publication Number Publication Date
JP2005135062A true JP2005135062A (en) 2005-05-26
JP4014165B2 JP4014165B2 (en) 2007-11-28

Family

ID=34543786

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003368518A Expired - Fee Related JP4014165B2 (en) 2003-10-29 2003-10-29 Access management system, access execution device, access execution program, access execution method, and recording medium

Country Status (2)

Country Link
US (1) US7752161B2 (en)
JP (1) JP4014165B2 (en)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008527536A (en) * 2005-01-13 2008-07-24 サムスン エレクトロニクス カンパニー リミテッド Digital rights management apparatus and method
JP2009070086A (en) * 2007-09-12 2009-04-02 Ricoh Co Ltd Information processor, access control method, and access control program
JP2009289241A (en) * 2008-06-02 2009-12-10 Nec Corp Information processing apparatus, information processing method, and program
WO2009147780A1 (en) * 2008-06-02 2009-12-10 日本電気株式会社 Information processing device, information processing method and recording medium to store program

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5036140B2 (en) * 2005-06-10 2012-09-26 日本電気株式会社 Personal information distribution management system, personal information distribution management method, personal information provision program, and personal information utilization program
US7853988B2 (en) * 2006-05-16 2010-12-14 Waterstone Environmental Hydrology & Engineering, Inc. State saver/restorer for a geospatial decision management system
US20080307498A1 (en) * 2006-12-27 2008-12-11 Waterstone Environmental Hydrology & Engineering, Inc. Access control for server-based geographic information system
US8201226B2 (en) * 2007-09-19 2012-06-12 Cisco Technology, Inc. Authorizing network access based on completed educational task
JP4931245B2 (en) * 2007-11-30 2012-05-16 インターナショナル・ビジネス・マシーンズ・コーポレーション Access control method, server device and system
US8943415B2 (en) * 2010-01-08 2015-01-27 Microsoft Corporation Third party control of location information access
US20120311696A1 (en) * 2011-06-02 2012-12-06 Microsoft Corporation Override for Policy Enforcement System
CN104137007B (en) * 2012-03-02 2017-01-18 皇家飞利浦有限公司 System and method for access decision evaluation for building automation and control systems
DK3435271T3 (en) * 2016-03-22 2022-01-03 Assemblogue Inc ACCESS CONTROL METHOD, INFORMATION PROCESSING DEVICE, PROGRAM AND RECORDING MEDIA
JP7207114B2 (en) * 2019-04-09 2023-01-18 富士通株式会社 Information processing device and authentication information processing method

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5235642A (en) * 1992-07-21 1993-08-10 Digital Equipment Corporation Access control subsystem and method for distributed computer system using locally cached authentication credentials
US5787177A (en) * 1996-08-01 1998-07-28 Harris Corporation Integrated network security access control system
JP3546787B2 (en) * 1999-12-16 2004-07-28 インターナショナル・ビジネス・マシーンズ・コーポレーション Access control system, access control method, and storage medium
US7013332B2 (en) * 2001-01-09 2006-03-14 Microsoft Corporation Distributed policy model for access control
US6957261B2 (en) * 2001-07-17 2005-10-18 Intel Corporation Resource policy management using a centralized policy data structure
US7222361B2 (en) * 2001-11-15 2007-05-22 Hewlett-Packard Development Company, L.P. Computer security with local and remote authentication
US20040153908A1 (en) * 2002-09-09 2004-08-05 Eprivacy Group, Inc. System and method for controlling information exchange, privacy, user references and right via communications networks communications networks
WO2005001646A2 (en) * 2003-06-25 2005-01-06 Arkivio, Inc. Techniques for performing policy automated operations

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008527536A (en) * 2005-01-13 2008-07-24 サムスン エレクトロニクス カンパニー リミテッド Digital rights management apparatus and method
JP4718560B2 (en) * 2005-01-13 2011-07-06 サムスン エレクトロニクス カンパニー リミテッド Digital rights management apparatus and method
JP2009070086A (en) * 2007-09-12 2009-04-02 Ricoh Co Ltd Information processor, access control method, and access control program
JP2009289241A (en) * 2008-06-02 2009-12-10 Nec Corp Information processing apparatus, information processing method, and program
WO2009147780A1 (en) * 2008-06-02 2009-12-10 日本電気株式会社 Information processing device, information processing method and recording medium to store program

Also Published As

Publication number Publication date
US7752161B2 (en) 2010-07-06
US20050097349A1 (en) 2005-05-05
JP4014165B2 (en) 2007-11-28

Similar Documents

Publication Publication Date Title
US10963578B2 (en) Methods and systems for preventing transmission of sensitive data from a remote computer device
WO2020143620A1 (en) Method for displaying block chain data, block chain browser, user node and medium
JP4014165B2 (en) Access management system, access execution device, access execution program, access execution method, and recording medium
JP4625334B2 (en) Information processing apparatus, information processing method, information processing program, recording medium, and resource management apparatus
US10135842B2 (en) Content-based isolation for computing device security
US20170372094A1 (en) Method and apparatus for secure storage and retrieval of encrypted files in public cloud-computing platforms
US10122693B2 (en) Protocol based key management
US20160259947A1 (en) Method and apparatus for managing access to electronic content
US20140325670A1 (en) System and method for providing risk score based on sensitive information inside user device
US20080189790A1 (en) Method For Preventing Key Logger From Hacking Data Typed on Keyboard Through Autorization of Keyboard Data
US20080163339A1 (en) Dynamic Security Access
US9996686B2 (en) Password retrieval system and method involving token usage without prior knowledge of the password
US10943022B2 (en) System for automatic classification and protection unified to both cloud and on-premise environments
US8856944B2 (en) Obscuring sensitive portions of universal resource locator
JP6099384B2 (en) Information communication system, authentication apparatus, information communication system access control method, and access control program
US8538991B2 (en) Information managing apparatus, information managing method, and computer product
JP2008015733A (en) Log management computer
JP4093482B2 (en) ACCESS CONTROL SYSTEM, ACCESS CONTROL DEVICE, ACCESS CONTROL METHOD, PROGRAM, AND RECORDING MEDIUM
US9282091B2 (en) Information processing system, information processing device, and authentication method
US9621591B2 (en) Service provisioning with improved authentication processing
WO2020140616A1 (en) Data encryption method and related device
WO2021098150A1 (en) Receipt data encryption method and apparatus, electronic device, and storage medium
JP2002304231A (en) Computer system
US11784983B1 (en) SSL encryption with reduced bandwidth
WO2023159458A1 (en) Device runtime update pre-authentication

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20070829

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20070904

RD14 Notification of resignation of power of sub attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7434

Effective date: 20070905

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20070907

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20100921

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20100921

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110921

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120921

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130921

Year of fee payment: 6

LAPS Cancellation because of no payment of annual fees